ESP dorazilo, ale nic se nedešifrovalo? Projděte příchozí fáze

Když čítač šifrování na firewallu roste a tunel nic nedodává, instinkt je rozšířit přístupové pravidlo. Ten instinkt přeskakuje vlastní sled kontrol příjemce. Příchozí paket ESP prochází několika fázemi a každá může ukončit život paketu z jiného důvodu: žádná odpovídající asociace, selhání kontroly opakování nebo integrity, nebo vnitřní paket, který je v pořádku, ale není povolen dál. Pojmenování fáze, která selhala, promění neurčité tvrzení, že IPsec je rozbitý, v konkrétní čítač a konkrétní opravu.

Příchod je jedno pozorování, ne tři

Vnější záznam ukazující, že ESP dorazilo k bráně, dokazuje jen to, že vnější paket dorazil. Přijetí znamená, že příjemce našel asociaci a paket ověřil. Doručení znamená, že obnovený vnitřní paket byl směrován k cíli a dostal odpověď. To jsou oddělené výsledky a panel, který je slučuje, skrývá právě tu informaci, kterou potřebujete.

Stejný rozdíl vysvětluje časté hlášení: čítač šifrování jednoho uzlu roste, zatímco druhý nehlásí žádný užitečný dešifrovaný provoz. Obě tvrzení mohou platit současně, protože popisují různé fáze téhož pokusu.

Hledání asociace probíhá před dešifrováním

Příjemce v případě potřeby složí fragmenty a poté najde bezpečnostní asociaci pro paket. U běžného unicastu ji vybírá SPI a cíl. Bez platné asociace se dál nezpracovává, proto zastaralé nebo neodpovídající SPI vytváří ticho místo chyby viditelné aplikaci.

Asociace jsou směrové a mohou se během obnovy klíčů změnit, proto si poznamenejte přijímající stranu, SPI a časové razítko vedle příchozí asociace, kterou považujete za aktuální. Zobrazená odchozí asociace nebo zdravý vztah IKE nenahrazuje tu, která má tento paket přijmout.

Kontroly opakování a integrity odmítají dřív, než existuje užitečné zatížení

Když je asociace nalezena, příjemce použije algoritmy, které určuje. Pokud je zapnuta ochrana proti opakování, pořadové číslo mimo okno se odmítne. Selhání kontroly integrity také ukončí zpracování, protože ICV neodpovídá paketu v podobě, v jaké dorazil. Ani jeden případ nevytváří dešifrovaný vnitřní paket, takže se nic nedostane do směrování, politiky ani aplikace.

Pro tyto stavy používejte dokumentované chyby a čítače implementace, místo abyste každé selhání příjmu považovali za zamítnutí přístupového seznamu. Vypnutí integrity nebo ochrany proti opakování, aby se provoz objevil, nedokazuje, že příchozí paket byl legitimní; odstraňuje kontrolu, která říkala pravdu.

Port UDP 4500 je kontejner, ne verdikt

Průchod přes NAT nese ESP uvnitř UDP a stejný port nese i zprávy IKE a keepalive. Aktivita na 4500 tedy říká, že port něco používá, ne že aplikace vytvořila paket ESP. Zařaďte obsah dřív, než ho přisoudíte datovému provozu.

To je důležité, když je záznam jediným dostupným důkazem. Zpráva keepalive, která dorazí podle plánu, může mrtvý tunel vykreslit jako živý a zpráva IKE může záznam vykreslit jako rušnější, než datová cesta skutečně je.

Směrování a politika platí až po extrakci

Když dešifrování uspěje, obnovený vnitřní paket vstoupí do běžné cesty: kontroly politiky, směrování, pravidla předávání a cílový hostitel. Paket může projít všemi bezpečnostními kontrolami a přesto zde být zahozen, a cesta odpovědi musí také existovat. To selhání patří předávání, ne ESP.

Držte čítače svázané s jejich dokumentovanou fází. Příjem na rozhraní, přijaté ESP, dešifrované bajty a předané vnitřní pakety nemusí být stejné číslo, zvlášť když akcelerovaná cesta obsluhuje datovou rovinu a řídicí rovina hlásí odděleně. Obecný štítek na panelu není důkaz, že dva čítače znamenají totéž.

Pro jednu novou povolenou operaci si ponechte poslední potvrzenou hranici a první relevantní chybu. Ta dvojice řekne dalšímu správci, co vyšetřit: doručení přes transport, asociaci a integritu, nebo běžné vnitřní předávání, a vyhne se obvyklé opravě, kdy se každé pravidlo udělá povolujícím, aby se číslo pohnulo.