Ha arribat ESP però no s'ha desxifrat res? Seguiu les etapes d'entrada

Quan el comptador de xifratge d'un tallafoc puja mentre el túnel no lliura res, l'instint és ampliar una regla d'accés. Aquest instint passa per alt la pròpia seqüència de comprovacions del receptor. Un paquet ESP d'entrada travessa diverses etapes, i cadascuna pot acabar la vida del paquet per un motiu diferent: cap associació coincident, una fallada de repetició o d'integritat, o un paquet interior correcte però no permès més enllà. Anomenar l'etapa que ha fallat converteix una afirmació vaga que l'IPsec està espatllat en un comptador concret i una correcció concreta.

L'arribada és una observació, no tres

Una captura externa que mostra que ESP arriba a la passarel·la només demostra que el paquet exterior ha arribat. L'acceptació vol dir que el receptor ha trobat l'associació i ha validat el paquet. El lliurament vol dir que el paquet interior recuperat s'ha encaminat fins a la seva destinació i ha rebut resposta. Són resultats separats, i un quadre de comandament que els fusiona amaga exactament la informació que necessiteu.

La mateixa distinció explica un informe habitual: el comptador de xifratge d'un extrem puja mentre l'altre no informa de cap trànsit desxifrat útil. Les dues afirmacions poden ser certes alhora, perquè descriuen etapes diferents del mateix intent.

La cerca de l'associació passa abans del desxifratge

El receptor recompon els fragments si cal i després troba l'associació de seguretat del paquet. En unicast ordinari la trien l'SPI i la destinació. Sense una associació vàlida no hi ha més processament, i per això un SPI obsolet o desajustat produeix silenci en lloc d'un error visible per a l'aplicació.

Les associacions són direccionals i poden canviar durant una renovació de claus, així que anoteu l'extrem receptor, l'SPI i la marca de temps al costat de l'associació d'entrada que considereu actual. Una associació de sortida mostrada, o una relació IKE saludable, no substitueix la que hauria de rebre aquest paquet.

Les comprovacions de repetició i integritat rebutgen abans que existeixi una càrrega útil

Un cop trobada l'associació, el receptor aplica els algorismes que aquesta especifica. Si la protecció contra repetició està activada, es rebutja un número de seqüència fora de la finestra. Una fallada de la comprovació d'integritat també acaba el processament, perquè l'ICV no coincideix amb el paquet tal com s'ha rebut. Cap dels dos casos no produeix un paquet interior desxifrat, així que res no arriba a l'encaminament, la política ni l'aplicació.

Feu servir els errors i comptadors documentats de la implementació per a aquestes condicions en lloc de tractar cada fallada de recepció com una denegació de la llista d'accés. Desactivar la integritat o la protecció contra repetició per fer aparèixer trànsit no demostra que el paquet entrant fos legítim; elimina la comprovació que deia la veritat.

El port UDP 4500 és un contenidor, no un veredicte

El pas per NAT porta ESP dins d'UDP, i el mateix port també porta missatges IKE i de manteniment. Per tant, l'activitat al 4500 us diu que alguna cosa utilitza el port, no que l'aplicació hagi produït un paquet ESP. Classifiqueu la càrrega abans d'atribuir-la al trànsit de dades.

Això importa quan la captura és l'única prova disponible. Un missatge de manteniment que arriba puntual pot fer que un túnel mort sembli viu, i un missatge IKE pot fer que una captura sembli més ocupada del que és realment el camí de dades.

Només després de l'extracció s'apliquen l'encaminament i la política

Quan el desxifratge té èxit, el paquet interior recuperat entra al camí normal: comprovacions de política, encaminament, regles de reenviament i l'amfitrió de destinació. Un paquet pot passar totes les comprovacions de seguretat i tot i això ser descartat aquí, i el camí de resposta també ha d'existir. Aquesta fallada pertany al reenviament, no a ESP.

Manteniu els comptadors lligats a la seva etapa documentada. La recepció a la interfície, l'ESP acceptat, els bytes desxifrats i els paquets interiors reenviats no han de ser el mateix nombre, sobretot quan un camí accelerat gestiona el pla de dades i el pla de control informa per separat. Una etiqueta genèrica del quadre de comandament no és prova que dos comptadors signifiquin el mateix.

Per a una operació autoritzada nova, conserveu l'última frontera confirmada i el primer error rellevant. Aquesta parella diu al següent administrador si cal investigar el lliurament del transport, l'associació i la integritat, o el reenviament interior ordinari, i evita la correcció habitual de fer permissiva cada regla per moure un nombre.