ESP পৌঁছেছে কিন্তু কিছুই ডিক্রিপ্ট হয়নি? ইনবাউন্ড ধাপগুলো অনুসরণ করুন

ফায়ারওয়ালের এনক্রিপশন কাউন্টার বাড়ছে কিন্তু টানেল কিছুই দিচ্ছে না, এমন পরিস্থিতিতে অ্যাক্সেস নিয়ম প্রশস্ত করার প্রবণতা আসে। এই প্রবণতা রিসিভারের নিজস্ব যাচাইয়ের ক্রম এড়িয়ে যায়। ইনবাউন্ড ESP প্যাকেট কয়েকটি ধাপ পেরোয়, আর প্রতিটি ধাপ ভিন্ন কারণে প্যাকেটের জীবন শেষ করতে পারে: মিলে যাওয়া অ্যাসোসিয়েশন নেই, রিপ্লে বা ইন্টিগ্রিটি ব্যর্থতা, কিংবা ভেতরের প্যাকেট ঠিক আছে কিন্তু সামনে যাওয়ার অনুমতি নেই। কোন ধাপ ব্যর্থ হয়েছে তা নাম দিয়ে বলা অস্পষ্ট IPsec নষ্ট কথাটিকে নির্দিষ্ট কাউন্টার ও নির্দিষ্ট সমাধানে বদলে দেয়।

আগমন একটি পর্যবেক্ষণ, তিনটি নয়

বাইরের ক্যাপচার দেখায় ESP গেটওয়েতে পৌঁছেছে, কিন্তু তা কেবল প্রমাণ করে বাইরের প্যাকেট এসেছে। গ্রহণ মানে রিসিভার অ্যাসোসিয়েশন খুঁজে পেয়েছে এবং প্যাকেট যাচাই করেছে। ডেলিভারি মানে উদ্ধার করা ভেতরের প্যাকেট তার গন্তব্যে রুট হয়েছে এবং উত্তর পেয়েছে। এগুলো আলাদা ফলাফল, আর যে ড্যাশবোর্ড এদের মিশিয়ে দেয় সে ঠিক আপনার প্রয়োজনীয় তথ্যটিই লুকায়।

একই পার্থক্য একটি সাধারণ অভিযোগ ব্যাখ্যা করে: এক পক্ষের এনক্রিপশন কাউন্টার বাড়ে, অন্যদিকে অন্য পক্ষ কোনো কাজে লাগা ডিক্রিপ্টেড ট্রাফিকের কথা জানায় না. দুটি বক্তব্যই একসঙ্গে সত্য হতে পারে, কারণ তারা একই প্রচেষ্টার ভিন্ন ধাপ বর্ণনা করে।

ডিক্রিপশনের আগেই অ্যাসোসিয়েশন খোঁজা হয়

রিসিভার প্রয়োজনে ফ্র্যাগমেন্ট জোড়া দেয়, তারপর প্যাকেটের সিকিউরিটি অ্যাসোসিয়েশন খুঁজে বের করে। সাধারণ ইউনিকাস্টে SPI ও গন্তব্য এটি নির্বাচন করে। বৈধ অ্যাসোসিয়েশন না থাকলে আর কোনো প্রসেসিং হয় না, তাই পুরোনো বা মিলহীন SPI অ্যাপ্লিকেশনের কাছে দৃশ্যমান ত্রুটির বদলে নীরবতা তৈরি করে।

অ্যাসোসিয়েশন দিকনির্ভর এবং কী পুনর্নবীকরণের সময় বদলাতে পারে, তাই আপনি যে ইনবাউন্ড অ্যাসোসিয়েশনকে বর্তমান মনে করেন তার পাশে রিসিভিং পিয়ার, SPI ও সময়লিপি লিখে রাখুন। প্রদর্শিত আউটবাউন্ড অ্যাসোসিয়েশন বা সুস্থ IKE সম্পর্ক এই প্যাকেট গ্রহণ করার কথা থাকা অ্যাসোসিয়েশনের বিকল্প নয়।

রিপ্লে ও ইন্টিগ্রিটি যাচাই পেলোড তৈরির আগেই বাতিল করে

অ্যাসোসিয়েশন পাওয়ার পর রিসিভার সেই অ্যাসোসিয়েশনের নির্দিষ্ট অ্যালগরিদম প্রয়োগ করে। অ্যান্টি-রিপ্লে চালু থাকলে উইন্ডোর বাইরের সিকোয়েন্স নম্বর বাতিল হয়। ইন্টিগ্রিটি যাচাই ব্যর্থ হলেও প্রসেসিং শেষ হয়, কারণ ICV গ্রহণ করা প্যাকেটের সঙ্গে মেলে না। কোনোটিতেই ডিক্রিপ্টেড ভেতরের প্যাকেট তৈরি হয় না, তাই কিছুই রাউটিং, পলিসি বা অ্যাপ্লিকেশনে পৌঁছায় না।

এই অবস্থার জন্য ইমপ্লিমেন্টেশনের নথিভুক্ত ত্রুটি ও কাউন্টার ব্যবহার করুন, প্রতিটি গ্রহণ ব্যর্থতাকে অ্যাক্সেস-লিস্ট প্রত্যাখ্যান হিসেবে ধরবেন না। ট্রাফিক দেখানোর জন্য ইন্টিগ্রিটি বা রিপ্লে সুরক্ষা বন্ধ করা আগত প্যাকেট বৈধ ছিল তা প্রমাণ করে না; বরং যে যাচাই সত্যি বলছিল তাকেই সরিয়ে দেয়।

UDP পোর্ট 4500 একটি পাত্র, রায় নয়

NAT ট্রাভার্সাল ESP-কে UDP-র ভেতরে বহন করে, আর একই পোর্ট IKE ও কিপঅ্যালাইভ বার্তাও বহন করে। তাই 4500-এ কার্যকলাপ মানে এই পোর্ট কেউ ব্যবহার করছে, অ্যাপ্লিকেশন ESP প্যাকেট তৈরি করেছে তা নয়। ডেটা ট্রাফিক হিসেবে ধরার আগে পেলোডের শ্রেণি নির্ধারণ করুন।

এটি গুরুত্বপূর্ণ যখন ক্যাপচারই একমাত্র প্রমাণ। সময়মতো আসা কিপঅ্যালাইভ মৃত টানেলকে জীবন্ত দেখাতে পারে, আর IKE বার্তা ক্যাপচারকে ডেটা পথের প্রকৃত অবস্থার চেয়ে বেশি ব্যস্ত দেখাতে পারে।

নিষ্কাশনের পরেই রাউটিং ও পলিসি প্রযোজ্য

ডিক্রিপশন সফল হলে উদ্ধার করা ভেতরের প্যাকেট স্বাভাবিক পথে ঢোকে: পলিসি যাচাই, রাউটিং, ফরওয়ার্ডিং নিয়ম ও গন্তব্য হোস্ট। একটি প্যাকেট সব সিকিউরিটি যাচাই পেরিয়েও এখানে বাদ পড়তে পারে, আর উত্তর পথও থাকতে হবে। সেই ব্যর্থতা ফরওয়ার্ডিংয়ের, ESP-র নয়।

কাউন্টারগুলোকে তাদের নথিভুক্ত ধাপের সঙ্গে বেঁধে রাখুন। ইন্টারফেস গ্রহণ, গৃহীত ESP, ডিক্রিপ্টেড বাইট ও ফরওয়ার্ড করা ভেতরের প্যাকেট একই সংখ্যা হওয়া আবশ্যক নয়, বিশেষত যখন ত্বরিত পথ ডেটা প্লেন সামলায় আর কন্ট্রোল প্লেন আলাদাভাবে রিপোর্ট করে। সাধারণ ড্যাশবোর্ড লেবেল দুটি কাউন্টার একই জিনিস বোঝায় তার প্রমাণ নয়।

একটি নতুন অনুমোদিত কাজের জন্য সর্বশেষ নিশ্চিত সীমা ও প্রথম প্রাসঙ্গিক ত্রুটি ধরে রাখুন। এই জোড়া পরবর্তী প্রশাসককে বলে দেয় কী তদন্ত করতে হবে — ট্রান্সপোর্ট ডেলিভারি, অ্যাসোসিয়েশন ও ইন্টিগ্রিটি, নাকি সাধারণ ভেতরের ফরওয়ার্ডিং — এবং সংখ্যা সরানোর জন্য প্রতিটি নিয়ম ঢিলেঢালা করার চলিত সমাধান এড়ায়।