Mae ESP wedi cyrraedd ond dim byd wedi'i ddadgryptio? Dilynwch gamau'r mewnlif

Pan fo cyfrifydd amgryptio mur cadarn yn dringo tra nad yw'r twnnel yn cyflenwi dim, y reddf yw ehangu rheol mynediad. Mae'r reddf honno'n hepgor dilyniant gwiriadau'r derbynnydd ei hun. Mae pecyn ESP mewnlifol yn mynd trwy sawl cam, a gall pob un ddod â bywyd y pecyn i ben am reswm gwahanol: dim cymdeithas gyfatebol, methiant ailchwarae neu gyfanrwydd, neu becyn mewnol sy'n iawn ond nad yw'n cael ei ganiatáu ymlaen. Mae enwi'r cam a fethodd yn troi datganiad annelwig bod IPsec wedi torri yn gyfrifydd penodol a chyweiriad penodol.

Mae cyrraedd yn un arsylwad, nid tri

Mae cipolwg allanol sy'n dangos bod ESP yn cyrraedd y porth yn profi dim ond bod y pecyn allanol wedi cyrraedd. Mae derbyn yn golygu bod y derbynnydd wedi dod o hyd i'r gymdeithas ac wedi dilysu'r pecyn. Mae danfon yn golygu bod y pecyn mewnol a adferwyd wedi'i lwybro i'w gyrchfan ac wedi cael ateb. Canlyniadau ar wahân yw'r rhain, ac mae dangosfwrdd sy'n eu huno yn cuddio'r union wybodaeth sydd ei hangen arnoch.

Mae'r un gwahaniaeth yn esbonio adroddiad cyffredin: mae cyfrifydd amgryptio un pen yn dringo tra nad yw'r llall yn adrodd am unrhyw draffig dadgryptiedig defnyddiol. Gall y ddau ddatganiad fod yn wir ar yr un pryd, oherwydd eu bod yn disgrifio camau gwahanol o'r un ymgais.

Mae chwilio am y gymdeithas yn digwydd cyn dadgryptio

Mae'r derbynnydd yn ail-gydosod darnau os oes angen, yna'n dod o hyd i gymdeithas diogelwch y pecyn. Ar gyfer unicast cyffredin, yr SPI a'r gyrchfan sy'n ei dewis. Heb gymdeithas ddilys nid oes prosesu pellach, a dyna pam mae SPI hen neu anghyson yn cynhyrchu distawrwydd yn hytrach na gwall a welir gan y rhaglen.

Mae cymdeithasau'n gyfeiriadol a gallant newid yn ystod ail-allwedd, felly cofnodwch y pen derbyn, yr SPI a'r stamp amser wrth ymyl y gymdeithas fewnlifol rydych yn credu sy'n gyfredol. Nid yw cymdeithas allanol a ddangosir, na pherthynas IKE iach, yn cymryd lle'r un a ddylai dderbyn y pecyn hwn.

Mae gwiriadau ailchwarae a chyfanrwydd yn gwrthod cyn bod llwyth ar gael

Unwaith y ceir cymdeithas, mae'r derbynnydd yn cymhwyso'r algorithmau y mae'r gymdeithas honno'n eu nodi. Os yw gwrth-ailchwarae wedi'i alluogi, gwrthodir rhif dilyniant y tu allan i'r ffenestr. Mae methiant gwirio cyfanrwydd hefyd yn dod â phrosesu i ben, oherwydd nid yw'r ICV yn cyfateb i'r pecyn fel y'i derbyniwyd. Nid yw'r naill achos na'r llall yn cynhyrchu pecyn mewnol dadgryptiedig, felly nid oes dim yn cyrraedd llwybro, polisi na'r rhaglen.

Defnyddiwch wallau a chyfrifyddion dogfennedig y gweithrediad ar gyfer y cyflyrau hyn yn lle trin pob methiant derbyn fel gwrthodiad rhestr fynediad. Nid yw analluogi cyfanrwydd nac amddiffyniad ailchwarae i wneud i draffig ymddangos yn profi bod y pecyn sy'n dod i mewn yn gyfreithlon; mae'n dileu'r gwiriad a oedd yn adrodd y gwir.

Mae porth UDP 4500 yn gynhwysydd, nid yn farn

Mae tramwyo NAT yn cario ESP y tu mewn i UDP, ac mae'r un porth hefyd yn cario negeseuon IKE a chadw'n fyw. Felly mae gweithgarwch ar 4500 yn dweud bod rhywbeth yn defnyddio'r porth, nid bod y rhaglen wedi cynhyrchu pecyn ESP. Dosbarthwch y llwyth cyn ei briodoli i draffig data.

Mae hyn yn bwysig pan mai'r cipolwg yw'r unig dystiolaeth sydd ar gael. Gall neges cadw'n fyw sy'n cyrraedd yn ôl yr amserlen wneud twnnel marw i edrych yn fyw, a gall neges IKE wneud cipolwg i edrych yn brysurach nag yw'r llwybr data mewn gwirionedd.

Dim ond ar ôl echdynnu y mae llwybro a pholisi'n berthnasol

Pan fydd dadgryptio'n llwyddo, mae'r pecyn mewnol a adferwyd yn mynd i mewn i'r llwybr arferol: gwiriadau polisi, llwybro, rheolau anfon ymlaen a'r gwesteiwr cyrchfan. Gall pecyn basio pob gwiriad diogelwch ac eto gael ei ollyng yma, ac mae'n rhaid i'r llwybr ateb fodoli hefyd. Mae'r methiant hwnnw'n perthyn i anfon ymlaen, nid i ESP.

Cadwch gyfrifyddion ynghlwm wrth eu cam dogfennedig. Nid oes raid i dderbyn rhyngwyneb, ESP a dderbyniwyd, beitiau dadgryptiedig a phecynnau mewnol a anfonwyd ymlaen fod yr un rhif, yn enwedig pan fo llwybr cyflymach yn trin yr awyren ddata ac mae'r awyren reoli'n adrodd ar wahân. Nid yw label dangosfwrdd cyffredin yn brawf bod dau gyfrifydd yn golygu'r un peth.

Ar gyfer un gweithrediad awdurdodedig newydd, cadwch y ffin olaf a gadarnhawyd a'r gwall cyntaf perthnasol. Mae'r pâr hwnnw'n dweud wrth y gweinyddwr nesaf beth i'w ymchwilio: danfon trafnidiaeth, cymdeithas a chyfanrwydd, neu anfon ymlaen mewnol arferol, ac mae'n osgoi'r cyweiriad arferol o wneud pob rheol yn ganiataol er mwyn symud rhif.