ESP ankom, men intet blev dekrypteret? Følg de indgående faser

Når en firewalls krypteringstæller stiger, mens tunnelen ikke leverer noget, er instinktet at udvide en adgangsregel. Det instinkt springer modtagerens egen rækkefølge af kontroller over. En indgående ESP-pakke går gennem flere faser, og hver af dem kan afslutte pakkens liv af en anden grund: ingen matchende association, en fejl i genafspilning eller integritet, eller en indre pakke, der er i orden, men ikke tillades videre. At navngive den fase, der fejlede, gør en vag påstand om at IPsec er i stykker til en bestemt tæller og en bestemt rettelse.

Ankomst er én observation, ikke tre

En ekstern optagelse, der viser ESP nå gatewayen, beviser kun, at den ydre pakke ankom. Accept betyder, at modtageren fandt associationen og validerede pakken. Levering betyder, at den gendannede indre pakke blev rutet til sin destination og besvaret. Det er adskilte resultater, og et dashboard, der slår dem sammen, skjuler netop den information, du har brug for.

Den samme forskel forklarer en almindelig rapport: den ene sides krypteringstæller stiger, mens den anden ikke rapporterer om nogen nyttig dekrypteret trafik. Begge udsagn kan være sande på samme tid, fordi de beskriver forskellige faser af det samme forsøg.

Opslag af association sker før dekryptering

Modtageren samler fragmenter, hvis det er nødvendigt, og finder derefter sikkerhedsassociationen for pakken. Ved almindelig unicast vælges den af SPI og destinationen. Uden en gyldig association sker der ingen yderligere behandling, og derfor giver en forældet eller ikke matchende SPI tavshed i stedet for en fejl, som applikationen kan se.

Associationer er retningsbestemte og kan ændre sig under en nøglefornyelse, så notér den modtagende part, SPI og tidsstemplet ved siden af den indgående association, du mener er aktuel. En vist udgående association eller et sundt IKE-forhold erstatter ikke den, der burde modtage denne pakke.

Kontroller for genafspilning og integritet afviser, før der findes en nyttelast

Når en association er fundet, anvender modtageren de algoritmer, som associationen angiver. Hvis beskyttelse mod genafspilning er aktiveret, afvises et sekvensnummer uden for vinduet. En fejl i integritetskontrollen afslutter også behandlingen, fordi ICV ikke matcher pakken, som den blev modtaget. Ingen af tilfældene frembringer en dekrypteret indre pakke, så intet når routing, politik eller applikationen.

Brug implementeringens dokumenterede fejl og tællere for disse tilstande i stedet for at behandle enhver modtagelsesfejl som en afvisning fra adgangslisten. At slå integritet eller genafspilningsbeskyttelse fra for at få trafik til at vise sig beviser ikke, at den indgående pakke var legitim; det fjerner den kontrol, der fortalte sandheden.

UDP-port 4500 er en beholder, ikke en dom

NAT-gennemføring bærer ESP inde i UDP, og den samme port bærer også IKE- og keepalive-beskeder. Aktivitet på 4500 fortæller derfor, at noget bruger porten, ikke at applikationen har frembragt en ESP-pakke. Klassificér nyttelasten, før du tilskriver den datatrafik.

Det betyder noget, når optagelsen er det eneste tilgængelige bevis. En keepalive, der ankommer efter planen, kan få en død tunnel til at se levende ud, og en IKE-besked kan få en optagelse til at se travlere ud, end datastien i virkeligheden er.

Først efter udtrækningen gælder routing og politik

Når dekrypteringen lykkes, går den gendannede indre pakke ind på den normale sti: politikcheck, routing, videresendelsesregler og destinationsværten. En pakke kan bestå alle sikkerhedscheck og alligevel blive droppet her, og returvejen skal også findes. Den fejl hører til videresendelsen, ikke til ESP.

Hold tællere bundet til deres dokumenterede fase. Modtagelse på interfacet, accepteret ESP, dekrypterede bytes og videresendte indre pakker behøver ikke være det samme tal, især når en accelereret sti håndterer dataplanet, og kontrolplanet rapporterer særskilt. En generisk dashboard-etiket er ikke bevis for, at to tællere betyder det samme.

For én ny godkendt operation, behold den sidst bekræftede grænse og den første relevante fejl. Det par fortæller den næste administrator, om der skal undersøges transportlevering, association og integritet eller almindelig indre videresendelse, og det undgår den sædvanlige rettelse at gøre hver regel tilladende for at flytte et tal.