ESP дайшоў, але нічога не расшыфравана? Прайдзіце этапы ўваходу

Калі лічыльнік шыфравання на міжсеткавым экране расце, а тунель нічога не перадае, хочацца пашырыць правіла доступу. Гэтае жаданне абыходзіць уласную паслядоўнасць праверак атрымальніка. Уваходны пакет ESP праходзіць некалькі этапаў, і кожны можа спыніць жыццё пакета па сваёй прычыне: няма адпаведнай асацыяцыі, збой праверкі паўтору або цэласнасці, або ўнутраны пакет слушны, але далей не дазволены. Назва этапу, які збаіў, ператварае неакрэсленае паведамленне пра збой IPsec у канкрэтны лічыльнік і канкрэтнае выпраўленне.

Прыбыццё — гэта адно назіранне, а не тры

Знешні запіс, які паказвае, што ESP дасягнуў шлюза, даказвае толькі тое, што знешні пакет прыйшоў. Прыняцце азначае, што атрымальнік знайшоў асацыяцыю і праверыў пакет. Дастаўка азначае, што адноўлены ўнутраны пакет быў накіраваны да месца прызначэння і атрымаў адказ. Гэта розныя вынікі, і панэль, якая іх злівае, хавае менавіта тую інфармацыю, якая патрэбна.

Тое ж адрозненне тлумачыць частую скаргу: у аднаго боку расце лічыльнік шыфравання, а другі бок не паведамляе пра карысны расшыфраваны трафік. Абодва сцверджанні могуць быць праўдзівымі адначасова, бо яны апісваюць розныя этапы адной спробы.

Пошук асацыяцыі адбываецца да расшыфравання

Атрымальнік пры неабходнасці збірае фрагменты, затым знаходзіць асацыяцыю бяспекі для пакета. Для звычайнага аднаадраснага руху яе выбіраюць SPI і адрас прызначэння. Калі слушнай асацыяцыі няма, далейшая апрацоўка не адбываецца, таму састарэлы або няправільны SPI дае цішыню, а не памылку, бачную праграме.

Асацыяцыі маюць напрамак і могуць змяняцца падчас змены ключоў, таму запішыце атрымальны бок, SPI і адзнаку часу побач з уваходнай асацыяцыяй, якую лічыце актуальнай. Паказаная зыходная асацыяцыя або здаровая сувязь IKE не замяняе тую, што павінна прыняць гэты пакет.

Праверкі паўтору і цэласнасці адхіляюць да з'яўлення карыснай нагрузкі

Калі асацыяцыя знойдзена, атрымальнік прымяняе алгарытмы, указаныя ў ёй. Калі абарона ад паўтору ўключана, нумар паслядоўнасці па-за акном адхіляецца. Збой праверкі цэласнасці таксама спыняе апрацоўку, бо ICV не супадае з пакетам у тым выглядзе, у якім ён прыйшоў. Ні адзін з выпадкаў не стварае расшыфраванага ўнутранага пакета, таму нічога не даходзіць да маршрутызацыі, палітыкі або праграмы.

Выкарыстоўвайце дакументаваныя памылкі і лічыльнікі рэалізацыі для гэтых станаў, а не трактуйце любы збой прыёму як адмову спісу доступу. Адключэнне цэласнасці або абароны ад паўтору, каб трафік з'явіўся, не даказвае законнасць уваходнага пакета; яно выдаляе праверку, якая казала праўду.

Порт UDP 4500 — гэта кантэйнер, а не прысуд

Праход праз NAT нясе ESP унутры UDP, і той жа порт нясе паведамленні IKE і захавання сувязі. Таму актыўнасць на 4500 кажа, што нешта выкарыстоўвае порт, а не што праграма стварыла пакет ESP. Класіфікуйце нагрузку, перш чым адносіць яе да трафіку даных.

Гэта важна, калі запіс — адзіны доказ. Паведамленне захавання сувязі, якое прыходзіць па графіку, можа зрабіць мёртвы тунель жывым, а паведамленне IKE — зрабіць запіс больш занятым, чым шлях даных насамрэч.

Маршрутызацыя і палітыка прымяняюцца толькі пасля вымання

Калі расшыфраванне паспяховае, адноўлены ўнутраны пакет трапляе на звычайны шлях: праверкі палітыкі, маршрутызацыя, правілы перасылкі і хост прызначэння. Пакет можа прайсці ўсе праверкі бяспекі і ўсё ж быць адкінутым тут, і шлях адказу таксама павінен існаваць. Гэты збой належыць перасылцы, а не ESP.

Трымайце лічыльнікі прывязанымі да іх дакументаванага этапу. Прыём на інтэрфейсе, прыняты ESP, расшыфраваныя байты і перасланыя ўнутраныя пакеты не абавязаны быць адной лічбай, асабліва калі паскораны шлях абслугоўвае плоскасць даных, а плоскасць кіравання справаздае асобна. Агульная этыкетка на панэлі не доказ таго, што два лічыльнікі азначаюць адно і тое ж.

Для адной новай дазволенай аперацыі захавайце апошнюю пацверджаную мяжу і першую значную памылку. Гэтая пара падкажа наступнаму адміністратару, што даследаваць: дастаўку транспарту, асацыяцыю і цэласнасць або звычайную ўнутраную перасылку, і пазбавіць ад звыклага выпраўлення рабіць кожнае правіла дазваляльным, каб зрушыць лічбу.