ESP пристигна, но нищо не е дешифрирано? Проследете етапите на входящия поток

Когато броячът за криптиране на защитната стена расте, а тунелът не доставя нищо, инстинктът е да се разшири правило за достъп. Този инстинкт пропуска собствената последователност от проверки на получателя. Входящият пакет ESP преминава през няколко етапа и всеки може да прекрати живота на пакета по различна причина: няма съответна асоциация, отказ при повторение или цялост, или вътрешен пакет, който е наред, но не е разрешен за препращане. Назоваването на етапа, който се е провалил, превръща неясното твърдение, че IPsec е счупен, в конкретен брояч и конкретна поправка.

Пристигането е едно наблюдение, не три

Външен запис, който показва, че ESP достига до шлюза, доказва само че външният пакет е пристигнал. Приемане означава, че получателят е намерил асоциацията и е валидирал пакета. Доставяне означава, че възстановеният вътрешен пакет е бил маршрутизиран до местоназначението си и е получил отговор. Това са отделни резултати и табло, което ги слива, скрива точно информацията, която ви трябва.

Същото разграничение обяснява често срещан доклад: броячът за криптиране на едната страна расте, докато другата не съобщава за полезен дешифриран трафик. И двете твърдения могат да бъдат верни едновременно, защото описват различни етапи от един и същ опит.

Търсенето на асоциация става преди дешифрирането

Получателят сглобява фрагментите, ако е нужно, после намира асоциацията за сигурност за пакета. При обикновен едноадресен трафик тя се избира от SPI и адреса на местоназначение. Без валидна асоциация няма по-нататъшна обработка, затова остарял или несъответстващ SPI дава тишина, а не грешка, видима за приложението.

Асоциациите са с посока и могат да се сменят при подновяване на ключове, затова запишете получаващата страна, SPI и времевата марка до входящата асоциация, която смятате за актуална. Показана изходяща асоциация или здрава IKE връзка не замества тази, която трябва да приеме този пакет.

Проверките за повторение и цялост отхвърлят преди да има полезен товар

След като асоциацията е намерена, получателят прилага алгоритмите, които тя определя. Ако защитата срещу повторение е включена, пореден номер извън прозореца се отхвърля. Отказ на проверката за цялост също прекратява обработката, защото ICV не съвпада с пакета във вида, в който е получен. Нито един от двата случая не създава дешифриран вътрешен пакет, така че нищо не достига до маршрутизация, политика или приложението.

Използвайте документираните грешки и броячи на реализацията за тези състояния, вместо да третирате всеки отказ при получаване като отказ по списък за достъп. Изключването на цялостта или защитата срещу повторение, за да се появи трафик, не доказва, че входящият пакет е бил законен; то премахва проверката, която е казвала истината.

UDP порт 4500 е контейнер, не присъда

Преносът през NAT носи ESP вътре в UDP и същият порт носи също IKE и съобщения за поддържане на връзката. Затова активност на 4500 ви казва, че нещо използва порта, а не че приложението е създало пакет ESP. Класифицирайте товара, преди да го отнесете към трафика с данни.

Това има значение, когато записът е единственото налично доказателство. Съобщение за поддържане на връзката, пристигащо по график, може да направи мъртъв тунел да изглежда жив, а съобщение IKE може да направи записа да изглежда по-натоварен, отколкото пътят на данните е в действителност.

Маршрутизацията и политиката се прилагат само след извличането

Когато дешифрирането успее, възстановеният вътрешен пакет влиза в нормалния път: проверки на политиката, маршрутизация, правила за препращане и хостът на местоназначението. Един пакет може да премине всички проверки за сигурност и пак да бъде изхвърлен тук, а пътят за отговор също трябва да съществува. Този отказ принадлежи на препращането, не на ESP.

Дръжте броячите вързани към документирания им етап. Получаване на интерфейса, приет ESP, дешифрирани байтове и препратени вътрешни пакети не е задължително да са едно и също число, особено когато ускорен път обслужва плоскостта на данните, а плоскостта за управление отчита отделно. Общ етикет на таблото не е доказателство, че два брояча означават едно и също.

За една нова разрешена операция запазете последната потвърдена граница и първата значима грешка. Тази двойка казва на следващия администратор какво да разследва: доставянето по транспорта, асоциацията и цялостта или обикновеното вътрешно препращане, и избягва обичайната поправка всички правила да станат разрешителни, за да мръдне число.