ESP se ispravno dešifrira, a unutarnji paket ipak nikamo ne stiže

Brojač primitka ESP raste, tunel ostaje podignut, a aplikacija nikada ne vidi paket. Dešifriranje je prošlo, provjera cjelovitosti je uspjela, a zatim je primatelj morao odlučiti što je zaštićeni korisni teret zapravo. Upravo se u tom posljednjem koraku pojavljuje nepodudarnost formata, a izvana to nimalo ne sliči problemu vatrozida.

Što vidite kada oznaka laže

Ništa u zapisniku klijenta ne razlikuje to od crne rupe u usmjeravanju. Oboje stvara istek vremena aplikacije uz zdrav tunel, zato se prvo okrivljuju brojači.

Rastući brojač primitka doista je dobra vijest: paketi dolaze i provjeravaju se. To nije dokaz da je unutarnji paket imao smisla za bilo što iznad kriptografskog sloja.

Tip stanuje u traileru

U uobičajenom tunelskom načinu rada IPsec, korisni teret zaštićen protokolom ESP sadrži cjelovit unutarnji IP paket. Polje sljedećeg zaglavlja u traileru određuje što je taj teret, i to nije TCP port, nije broj protokola u vanjskom zaglavlju i nije dio početnog polja SPI i rednog broja. RFC 4303 odjeljak 2.6 definira ga kao polje vrste tereta, što je precizan naziv za precizan posao.

Vrijednosti na koje ćete naići male su i vrijedi ih zapamtiti: IPv4 je 4 (0x04), a IPv6 je 41 (0x29).

Ti brojevi dolaze iz dodjela brojeva protokola IANA, a ne iz lokalne konvencije. Pošiljatelj koji izjavljuje IPv4, a pritom umotava IPv6 paket, proizveo je nepodudarnost formata, i nijedno pravilo vatrozida ne popravlja bajtove koji proturječe vlastitoj oznaci.

Kako ga razlikovati od uobičajenih osumnjičenika

Većina paketa koji nedostaju nisu pogreške kodiranja. Prvo provjerite selektore, jer selektor prometa koji isključuje prefiks IPv6 odbacuje promet prije nego što se išta kapsulira. Zatim provjerite usmjeravanje, pa lokalno filtriranje na prijamnom računalu. Tek nakon što se to isključi, nepodudarnost formata tereta postaje vjerojatno objašnjenje.

Šifrirani snimak to neće riješiti, jer zaštićeno sljedeće zaglavlje nalazi se unutar šifriranog tereta. Potrebna vam je dijagnostika implementacije ili podržana dešifrirana točka promatranja, a oboje zahtijeva ovlaštenje prije uporabe.

Ako nitko ne može pružiti taj dokaz, nemate pogrešku formata. Imate teoriju, a selektori ostaju bolja oklada.

Što popravak nije

Ne isključujte provjere cjelovitosti da bi promet prošao. Ne prepisujte šifrirane pakete na posrednom usmjerivaču, jer to ne može raditi i pokvarit će tok, a pritom na snimku izgleda korisno. Ne otvarajte šire pravilo vatrozida za aplikaciju na temelju teorije da je port blokiran. Ništa od toga ne dotiče nepodudarnost oznake.

Ako potvrđena nepodudarnost dolazi iz partnerske implementacije, sačuvajte najmanju očišćenu reprodukciju i odnesite je u podržani kanal te implementacije.

Provjerite tok, a ne brojač

Nakon ispravka testirajte stvarni tok IPv6 od početka do kraja: zahtjev aplikacije kroz tunel, njegov odgovor i par adresa koji svaka strana vidi. Rastući brojač ESP dokazuje samo da se paketi primaju i provjeravaju. Ne govori ništa o tome je li unutarnji paket bio upotrebljiv.

Zapišite oba rezultata u tiket. Kretanje brojača uz tok koji radi jest popravak; samo kretanje brojača točno je ono što ste imali prije početka.