Pam nad yw amgryptio’n unig yn atal pecyn wedi’i ailchwarae

Nid yw pecynnau gwarchodedig yn dod i ben yn amgryptiadol, felly mae un a oedd yn ddilys bum munud yn ôl yn dal yn ddilys nawr, oherwydd nid yw amgryptio a gwarchod uniondeb yn dweud dim am pa bryd y crëwyd y beitiau. Nid oes angen i ymosodwr sy’n gallu cipio ac ailanfon traffig dorri’r seiffr. Dyna pam mae pob protocol twmnel difrifol yn cario cyflwr dilyniant ochr yn ochr â’i allweddi.

Mae’r mecanwaith yn fach, ac mae ei foddau methiant yn hawdd i’w cymysgu â cholli pecynnau.

Nid yw testun seiffredig dilys yn destun seiffredig ffres

Mae dilysu’n ateb un cwestiwn: a ddaeth y beitiau hyn yn ddigyfnewid oddi wrth ddeiliad yr allwedd. Nid yw’n ateb ai dyma’r tro cyntaf i’r derbynnydd eu gweld. Mae pecyn wedi’i ailchwarae yn pasio’r prawf cyntaf yn berffaith, a dyna’n union pam na all gwirio uniondeb ar ei ben ei hun atal ailchwarae a pham mae angen ail reol ar y protocol ynghylch derbyn. Nid oes gan dderbynnydd sy’n dilysu’n unig unrhyw amddiffyniad rhag ymosodwr sy’n dal recordiad.

Mae’r rheol honno’n rhad i’w gweithredu ac yn rhad i’w datgan: derbyn pecyn gwarchodedig penodol unwaith, o dan allwedd benodol. Daw popeth arall yn y maes hwn o’r ffordd y mae’r gweithrediad yn olrhain y tro hwnnw.

Mae darllen gollwng ailchwarae fel methiant dadgryptio yn eich anfon i’r is-system hollol anghywir.

Rhif dilyniant a ffenestr

Mae IPsec ESP yn cario rhif dilyniant ac mae’r derbynnydd yn cadw ffenestr lithro o werthoedd a dderbyniwyd yn ddiweddar, gyda’r manyleb ESP yn disgrifio maint diofyn y ffenestr a’r opsiwn i’w hestyn. Mae WireGuard yn mynd ar lwybr gwahanol gyda chyfrifydd fesul allwedd a gwiriad penodol yn ei erbyn. Nid yw’r un dyluniad yn tybio bod pecynnau’n cyrraedd mewn trefn, oherwydd mae rhwydweithiau go iawn yn eu haildrefnu. Mae’r ddau’n goddef aildrefnu, ac nid yw’r naill na’r llall yn goddef ailadrodd.

Y ffenestr sy’n gwneud y goddefgarwch hwnnw’n bosibl. Gall pecyn ychydig y tu ôl i’r gwerth uchaf a welwyd gael ei dderbyn o hyd os nad yw wedi’i dderbyn o’r blaen; mae un ymhell y tu ôl, neu un y mae ei slot eisoes wedi’i farcio, yn cael ei ollwng. Cynyddwch y ffenestr ac fe oddefwch fwy o aildrefnu ar gost mwy o gyflwr fesul cysylltiad.

Mae cyfrifwyr diagnostig yn dangos pa achos sydd gennych. Mae gollyngiadau ailchwarae yn cynyddu cyfrifydd penodol yn hytrach na gwall cyffredinol, a darllen y cyfrifydd hwnnw yw’r arsylwi defnyddiol cyntaf.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Mae cyflwr yn perthyn i’r allwedd, nid i’r gwesteiwr

Mae cyflwr y cyfrifydd wedi’i rwymo i gysylltiad diogelwch neu i epoc allwedd, felly mae ailosod allwedd yn creu cyd-destun newydd a’i ofod dilyniant ei hun. Mae clirio cyfrifydd heb ddisodli’r allwedd, neu ailddefnyddio cysylltiad ar ôl ailosodiad â llaw, yn torri’r rhagdybiaeth y mae ffenestr y derbynnydd yn dibynnu arni. Dyna pam mae ailosod allweddi wedi’i yrru gan y protocol yn bodoli yn hytrach na botwm ailosod gweladwy i’r gweithredwr.

Pan fydd twmnel yn ymddwyn yn wael ar ôl ymyrraeth â llaw, gofynnwch a gyrhaeddodd yr ymyrraeth gyflwr dilyniant. Gall ffurfweddiad sy’n edrych yn union yr un fath ymddwyn yn wahanol oherwydd nid y cyflwr a etifeddodd yw’r cyflwr y mae’n ei ddisgwyl.

Diagnoswch yr achos cyn analluogi unrhyw beth

Mae colled, aildrefnu, traffig dyblyg a diffyg gweithredu i gyd yn ymddangos fel ail-drosglwyddiadau, a dim ond un ohonynt sy’n broblem ailchwarae. Mae analluogi’r gwiriad i dawelu sŵn yn tynnu’r eiddo yr oeddech yn dibynnu arno ac yn gwneud yr achos gwreiddiol yn anoddach i’w ganfod, oherwydd nawr nid oes esboniad o gwbl gan yr ail-drosglwyddiadau.

Casglwch dystiolaeth gwmpasog: dynodwyr cysylltiad, rhifau dilyniant a chyfrifwyr, heb y llwythi. Mae hynny’n ddigon i wahaniaethu dyblygiad oddi wrth gyrraedd wedi’i aildrefnu, ac nid yw’n troi eich ffeil diagnostig yn gopi o draffig y defnyddiwr.

Yr hyn nad yw’r gwiriad yn ei addo

Mae amddiffyniad rhag ailchwarae yn eiddo i brosesu pecynnau o fewn un protocol. Nid yw’n golygu nad yw’r gweithredwr yn cadw logiau, na all gwefan adnabod cyfrif, na bod sesiwn yn anhysbys. Mae’r rheini’n gwestiynau ar wahân am systemau ar wahân, ac nid yw dyluniad cryf yn erbyn ailchwarae yn ateb yr un ohonynt.

Meddalwedd a gynhelir â gosodiadau a gefnogir yw’r rheolaeth ymarferol sydd ar gael i ddefnyddiwr. Mae’r protocol yn trin y pecyn; mae popeth arall yn parhau’n benderfyniad gweithredol.