Nid yw ESP allan heb ateb yn golygu bod y VPN wedi marw

Gwnaethoch gipio traffig ar y gwesteiwr IPsec, gweld pecynnau ESP yn gadael, heb weld dim yn dychwelyd, a chasglu bod yr ochr bell wedi torri. Nid yw’r cipiad yn cefnogi’r casgliad hwnnw. Mae ESP yn amddiffyn un cyfeiriad o sgwrs ac yn cydnabod dim ar haen IP, felly gall ESP dychweledol absennol olygu bod gan y rhaglen ddim i’w ddweud yr un mor hawdd ag y gall olygu bod y twnnel wedi marw. Darllenwch y cyfnewid mewnol a chyflwr yr ochr derbyn cyn beio’r naill ben na’r llall.

Y myth: mae pob pecyn gwarchodedig yn haeddu ateb

Nid yw ESP yn brotocol cais-ac-ateb. Mae’n amgryptio ac yn dilysu beth bynnag a ddewisir gan y polisi, ac mae’r derbynnydd yn dilysu, dadgryptio a dosbarthu’r pecyn mewnol hwnnw heb gynhyrchu pecyn ei hun. Mae ymholiad UDP y mae’r gyrchfan yn ei anwybyddu, neu adlais ICMP y mae polisi mewnol yn ei daflu, yn cynhyrchu distawrwydd i’r ddau gyfeiriad fel y canlyniad cywir. Mae trin y distawrwydd hwnnw fel methiant cludiant yn eich anfon i hela nam rhwydwaith nad oedd erioed yno.

Yr hyn y mae cipiad unffordd yn ei brofi mewn gwirionedd yw bod stac yr anfonwr wedi amgryptio rhywbeth yn y man arsylwi hwnnw. Dim am gyrraedd, a dim am fwriad i ateb. Nid "pam nad oes ateb" yw’r cwestiwn defnyddiol, ond "beth ddylai’r sgwrs fewnol fod wedi’i gynhyrchu".

Dwy SA, dau SPI, un sgwrs

Mae cymdeithasau diogelwch IPsec yn unffordd, felly mae cyfnewid gwarchodedig arferol yn cynnwys cymdeithas fewnol a chymdeithas allanol ag adnabyddwyr ar wahân a chyflwr annibynnol. Mae chwilio’r traffig dychwelyd am SPI y pecyn allanol felly’n gamgymeriad categori, oherwydd mae unrhyw ateb yn teithio o dan SA allanol y cymar ei hun gyda’i SPI ei hun. Parwch y pâr yn ôl dewiswyr traffig a chyfeiriadau’r cymar yn lle hynny.

Mae ailosod allweddi yn cymhlethu’r darlun am ychydig eiliadau ar y tro, gan y gall yr hen gyflwr a’r cyflwr newydd orgyffwrdd. Os dechreuodd y symptom o gwmpas ailosod allweddi, casglwch adnabyddwyr cymdeithasau a stampiau amser gyda’i gilydd yn hytrach na dim ond enw’r cysylltiad.

Beth sy’n rhaid i’r derbynnydd ei wneud cyn i unrhyw beth ateb

Mae pob rhes yn methu’n annibynnol ac mae gan bob methiant berchennog gwahanol, a dyna pam na all un cipiad eu gwahaniaethu. Y rhifydd mewnol yw’r unig dystiolaeth uniongyrchol o gyrraedd, oherwydd mae pecyn sy’n methu ei ddilysiad neu ei archwiliad ailchwarae yn cael ei daflu heb unrhyw ymateb. Felly nid yw cymar nad yw ei rifynydd mewnol wedi symud yn anfon unrhyw wybodaeth atoch am ei bolisi o gwbl.

Mae dosbarthu yn gam ar wahân i ddadgryptio. Gall cyflwr fod yn ddilys a’r pecyn yn dal i gael ei daflu wedyn gan bolisi mewnol neu lwybr nad yw’n cynnwys y gyrchfan fewnol, felly gwiriwch a welodd y gwesteiwr targed destun plaen yn hytrach na chymryd bod rhifydd glân yn golygu bod y pecyn wedi mynd lle’r oeddech am iddo fynd.

Nid yw ESP brodorol yn UDP

ESP brodorol yw protocol IP 50, nad yw’n TCP nac yn UDP ac nad oes ganddo unrhyw borthladdoedd o gwbl. Felly nid yw rheol wal dân sy’n caniatáu IKE ar UDP 500 yn dweud dim am y llwybr data, a gall hidlydd a ysgrifennwyd o amgylch porthladdoedd adael twnnel i drafod a wedyn taflu popeth a gariwyd y tu mewn iddo. Profwch y llwybr data ar ei ben ei hun, yn y modd a arsylwyd gennych mewn gwirionedd.

Y tu ôl i NAT mae’r siâp yn newid: mae’r llwyth gwarchodedig yn teithio y tu mewn i UDP, fel arfer ar borthladd 4500, fel y mae RFC 3948 yn ei ddiffinio. Cofnodwch y modd gweithredol cyn ysgrifennu unrhyw reol, oherwydd gall dyfais ar y llwybr drin ESP brodorol ac ESP wedi’i amgáu mewn UDP yn hollol wahanol, ac mae rhai blwch canol yn caniatáu un wrth daflu’r llall.

Darllenwch rifyddion sy’n perthyn i’r digwyddiad hwn

Ar westeiwr strongSwan mae swanctl --list-sas yn adrodd rifyddion pecynnau a beit fesul cymdeithas i’r ddau gyfeiriad, sy’n ddigon i wahanu "ni chyrhaeddodd erioed" oddi wrth "cyrhaeddodd ac ni chafodd ateb". Ar Linux mae /proc/net/xfrm_stat yn cyfrif methiannau cronnol fel cyflwr ar goll, polisi ar goll a gwallau protocol. Mae’r cyfansymiau hynny’n cronni o’r cychwyn ac yn perthyn i un gofod enw rhwydwaith, felly nid yw rhif mawr yn briodoliad.

Cymerwch ddau ddarlleniad o amgylch ffenestr y digwyddiad yn y gofod enw cywir a chymharwch y gwahaniaethau, neu byddwch yn hoelio gwallau’r wythnos diwethaf ar docyn y prynhawn yma. Rhowch y gofod enw a’r ddau stamp amser yn y tocyn fel y gall y darllenydd nesaf atgynhyrchu’r gymhariaeth yn hytrach na choelio cyfanswm.

Enwch y cam, nid y sawl a amheuir

Mae casgliad defnyddiol yn dweud ble y stopiodd y pecyn: byth wedi’i dderbyn, wedi’i dderbyn a’i daflu, wedi’i ddosbarthu ond heb ateb, neu wedi’i ateb a’i golli ar y ffordd yn ôl. Mae pob un o’r rhain yn pwyntio at berchennog gwahanol a gorchymyn nesaf gwahanol. Mae "dim ymateb gan y gweinydd VPN" yn llethu pedwar nam gwahanol mewn un frawddeg na chyfiawnhaodd y cipiad erioed.

Cadwch gipiadau yn gul, a chadwch gyflwr cnewyllyn amrwd allan o docynnau, gan y gall gludo deunydd allweddi nad oes ganddo ran i’w chael y tu allan i’r gwesteiwr. Y gwahaniaethau rhifyddion a’r stampiau amser yw’r rhannau sy’n werth eu rhoi i’r person nesaf.