ESP şifrəni açır və daxili paket yenə heç yerə getmir

ESP qəbul sayğacı artır, tunel qalxır və tətbiq paketi heç vaxt görmür. Şifrə açıldı, bütövlük yoxlaması keçdi, sonra qəbuledici qorunan yükün əslində nə olduğuna qərar verməli oldu. Format uyğunsuzluğu məhz bu son addımda ortaya çıxır və kənardan bu, heç də firewall probleminə bənzəmir.

Etiket yalan danışanda nə görürsünüz

Müştəri jurnalında bunu marşrutlaşdırma qara dəliyindən ayıran heç nə yoxdur. Hər ikisi sağlam tunelin yanında tətbiq taym-autu yaradır, buna görə də ilk növbədə sayğaclar günahlandırılır.

Artan qəbul sayğacı həqiqətən yaxşı xəbərdir: paketlər gəlir və autentifikasiyadan keçir. Bu, daxili paketin kripto qatından yuxarıdakı hər hansı şey üçün məntiqli olduğuna sübut deyil.

Tip treylerdə yaşayır

Adi IPsec tunel rejimində ESP ilə qorunan yük tam daxili IP paketi saxlayır. Treylerin Növbəti Başlıq sahəsi bu yükün nə olduğunu göstərir və bu, nə TCP portu, nə xarici başlıqdakı protokol nömrəsi, nə də ilkin SPI və ardıcıllıq nömrəsi sahəsinin hissəsidir. RFC 4303 bölmə 2.6 onu yük tipi sahəsi kimi müəyyən edir; bu, dəqiq bir iş üçün dəqiq bir addır.

Rastlaşacağınız dəyərlər kiçikdir və yadda saxlamağa dəyər: IPv4 4 (0x04), IPv6 isə 41 (0x29)-dir.

Bu nömrələr yerli konvensiyadan deyil, IANA protokol nömrə təyinatlarından gəlir. IPv4 elan edib IPv6 paketi əhatə edən göndərici format uyğunsuzluğu yaratmışdır və heç bir firewall qaydası öz etiketinə zidd olan baytları düzəltmir.

Onu adi şübhəlilərdən ayırmaq

İtən paketlərin çoxu kodlaşdırma qüsuru deyil. Əvvəlcə selektorları yoxlayın, çünki IPv6 prefiksini istisna edən trafik selektoru heç nə inkapsulyasiya olunmadan trafiki atır. Sonra marşrutlaşdırmanı, sonra qəbuledici hostda yerli filtrləməni yoxlayın. Yalnız bunlar istisna edildikdən sonra yük formatı uyğunsuzluğu inandırıcı izah olur.

Şifrələnmiş tutma bunu həll etməyəcək, çünki qorunan Növbəti Başlıq şifrələnmiş yükün içindədir. Sizə tətbiqetmə diaqnostikası və ya dəstəklənən deşifrə olunmuş müşahidə nöqtəsi lazımdır və hər ikisi istifadədən əvvəl icazə tələb edir.

Əgər heç kim bu sübutu təqdim edə bilmirsə, sizdə format qüsuru yoxdur. Sizdə bir nəzəriyyə var və selektorlar yenə daha yaxşı mərcdir.

Təmir nə deyil

Trafikin keçməsi üçün bütövlük yoxlamalarını söndürməyin. Şifrələnmiş paketləri aralıq marşrutlaşdırıcıda yenidən yazmayın, çünki bu işləyə bilməz və axını korlayacaq, halbuki tutmada faydalı görünür. Portun bloklandığı nəzəriyyəsi ilə daha geniş tətbiq firewall qaydası açmayın. Bunların heç biri etiket uyğunsuzluğuna toxunmur.

Təsdiqlənmiş uyğunsuzluq həmkar tətbiqetmədən gəlirsə, minimal təmizlənmiş reproduksiya saxlayın və onu həmin tətbiqetmənin dəstəklənən kanalına aparın.

Axını yoxlayın, sayğacı deyil

Düzəlişdən sonra faktiki IPv6 axınını başdan sona sınaqdan keçirin: tuneldən keçən tətbiq sorğusu, onun cavabı və hər tərəfin gördüyü ünvan cütü. Artan ESP sayğacı yalnız paketlərin alındığını və autentifikasiya olunduğunu sübut edir. Daxili paketin istifadəyə yararlı olub-olmadığı barədə heç nə demir.

Hər iki nəticəni biletdə qeyd edin. Sayğac hərəkəti üstəgəl işləyən axın düzəlişdir; tək sayğac hərəkəti isə başlamazdan əvvəl malik olduğunuz şeyin eynisidir.