Έφτασε ESP αλλά τίποτα δεν αποκρυπτογραφήθηκε; Ακολουθήστε τα στάδια εισόδου

Όταν ο μετρητής κρυπτογράφησης ενός τείχους προστασίας ανεβαίνει ενώ η σήραγγα δεν παραδίδει τίποτα, το ένστικτο είναι να διευρύνεις έναν κανόνα πρόσβασης. Αυτό το ένστικτο παρακάμπτει την δική του σειρά ελέγχων του δέκτη. Ένα εισερχόμενο πακέτο ESP περνά από πολλά στάδια και καθένα μπορεί να τερματίσει τη ζωή του πακέτου για διαφορετικό λόγο: καμία αντίστοιχη συσχέτιση, αποτυχία επανάληψης ή ακεραιότητας, ή ένα εσωτερικό πακέτο που είναι εντάξει αλλά δεν επιτρέπεται να προωθηθεί. Το να ονομάσεις το στάδιο που απέτυχε μετατρέπει μια αόριστη δήλωση ότι το IPsec είναι χαλασμένο σε συγκεκριμένο μετρητή και συγκεκριμένη διόρθωση.

Η άφιξη είναι μία παρατήρηση, όχι τρεις

Μια εξωτερική καταγραφή που δείχνει ότι το ESP φτάνει στην πύλη αποδεικνύει μόνο ότι έφτασε το εξωτερικό πακέτο. Η αποδοχή σημαίνει ότι ο δέκτης βρήκε τη συσχέτιση και επικύρωσε το πακέτο. Η παράδοση σημαίνει ότι το ανακτημένο εσωτερικό πακέτο δρομολογήθηκε στον προορισμό του και απαντήθηκε. Αυτά είναι ξεχωριστά αποτελέσματα και ένας πίνακας που τα συγχωνεύει κρύβει ακριβώς την πληροφορία που χρειάζεστε.

Η ίδια διάκριση εξηγεί μια συνηθισμένη αναφορά: ο μετρητής κρυπτογράφησης του ενός άκρου ανεβαίνει ενώ το άλλο δεν αναφέρει καθόλου χρήσιμη αποκρυπτογραφημένη κίνηση. Και οι δύο δηλώσεις μπορούν να ισχύουν ταυτόχρονα, γιατί περιγράφουν διαφορετικά στάδια της ίδιας απόπειρας.

Η αναζήτηση συσχέτισης γίνεται πριν από την αποκρυπτογράφηση

Ο δέκτης επανασυναρμολογεί τα θραύσματα αν χρειάζεται και μετά βρίσκει τη συσχέτιση ασφαλείας για το πακέτο. Σε συνηθισμένο unicast την επιλέγουν το SPI και ο προορισμός. Χωρίς έγκυρη συσχέτιση δεν γίνεται περαιτέρω επεξεργασία, γι' αυτό ένα παρωχημένο ή αταίριαστο SPI παράγει σιωπή αντί για σφάλμα ορατό στην εφαρμογή.

Οι συσχετίσεις είναι κατευθυντικές και μπορούν να αλλάξουν κατά την ανανέωση κλειδιών, οπότε καταγράψτε το άκρο λήψης, το SPI και τη χρονική σήμανση δίπλα στη συσχέτιση εισόδου που θεωρείτε τρέχουσα. Μια εμφανιζόμενη συσχέτιση εξόδου ή μια υγιής σχέση IKE δεν αντικαθιστά εκείνη που θα έπρεπε να λάβει αυτό το πακέτο.

Οι έλεγχοι επανάληψης και ακεραιότητας απορρίπτουν πριν υπάρξει ωφέλιμο φορτίο

Μόλις βρεθεί μια συσχέτιση, ο δέκτης εφαρμόζει τους αλγορίθμους που ορίζει. Αν η προστασία κατά της επανάληψης είναι ενεργή, ένας αύξων αριθμός εκτός παραθύρου απορρίπτεται. Αποτυχία του ελέγχου ακεραιότητας τερματίζει επίσης την επεξεργασία, γιατί το ICV δεν ταιριάζει με το πακέτο όπως ελήφθη. Καμία από τις δύο περιπτώσεις δεν παράγει αποκρυπτογραφημένο εσωτερικό πακέτο, άρα τίποτα δεν φτάνει στη δρομολόγηση, την πολιτική ή την εφαρμογή.

Χρησιμοποιήστε τα τεκμηριωμένα σφάλματα και τους μετρητές της υλοποίησης για αυτές τις καταστάσεις αντί να αντιμετωπίζετε κάθε αποτυχία λήψης ως απόρριψη λίστας πρόσβασης. Η απενεργοποίηση της ακεραιότητας ή της προστασίας κατά της επανάληψης για να εμφανιστεί κίνηση δεν αποδεικνύει ότι το εισερχόμενο πακέτο ήταν νόμιμο; αφαιρεί τον έλεγχο που έλεγε την αλήθεια.

Η θύρα UDP 4500 είναι δοχείο, όχι ετυμηγορία

Η διέλευση NAT μεταφέρει ESP μέσα σε UDP και η ίδια θύρα μεταφέρει επίσης μηνύματα IKE και keepalive. Η δραστηριότητα στη 4500 λοιπόν λέει ότι κάτι χρησιμοποιεί τη θύρα, όχι ότι η εφαρμογή παρήγαγε πακέτο ESP. Ταξινομήστε το ωφέλιμο φορτίο πριν το αποδώσετε στην κίνηση δεδομένων.

Αυτό έχει σημασία όταν η καταγραφή είναι η μόνη διαθέσιμη απόδειξη. Ένα keepalive που φτάνει στην ώρα του μπορεί να κάνει μια νεκρή σήραγγα να φαίνεται ζωντανή και ένα μήνυμα IKE μπορεί να κάνει μια καταγραφή να φαίνεται πιο πολυάσχολη απ' ό,τι είναι πραγματικά η διαδρομή δεδομένων.

Μόνο μετά την εξαγωγή εφαρμόζονται δρομολόγηση και πολιτική

Όταν η αποκρυπτογράφηση πετύχει, το ανακτημένο εσωτερικό πακέτο μπαίνει στην κανονική διαδρομή: έλεγχοι πολιτικής, δρομολόγηση, κανόνες προώθησης και ο κεντρικός υπολογιστής προορισμού. Ένα πακέτο μπορεί να περάσει κάθε έλεγχο ασφαλείας και παρ' όλα αυτά να απορριφθεί εδώ, και η διαδρομή απάντησης πρέπει επίσης να υπάρχει. Αυτή η αποτυχία ανήκει στην προώθηση, όχι στο ESP.

Κρατήστε τους μετρητές δεμένους με το τεκμηριωμένο στάδιο τους. Η λήψη στη διεπαφή, το αποδεκτό ESP, τα αποκρυπτογραφημένα byte και τα προωθημένα εσωτερικά πακέτα δεν χρειάζεται να είναι ο ίδιος αριθμός, ειδικά όταν μια επιταχυνόμενη διαδρομή χειρίζεται το επίπεδο δεδομένων και το επίπεδο ελέγχου αναφέρει ξεχωριστά. Μια γενική ετικέτα πίνακα δεν αποδεικνύει ότι δύο μετρητές σημαίνουν το ίδιο.

Για μία νέα εξουσιοδοτημένη λειτουργία, κρατήστε το τελευταίο επιβεβαιωμένο όριο και το πρώτο σχετικό σφάλμα. Αυτό το ζεύγος λέει στον επόμενο διαχειριστή τι να ερευνήσει: παράδοση μεταφοράς, συσχέτιση και ακεραιότητα, ή συνηθισμένη εσωτερική προώθηση, και αποφεύγει τη συνηθισμένη διόρθωση να γίνει κάθε κανόνας επιτρεπτικός για να κινηθεί ένας αριθμός.