ESP alvenis sed nenio malĉifriĝis? Sekvu la envenajn etapojn

Kiam la ĉifrada nombrilo de fajroŝirmilo supreniras dum la tunelo liveras nenion, la instinkto estas vastigi alirregulon. Tiu instinkto preterlasas la propran sinsekvon de kontroloj de la ricevanto. Envena ESP-paketo trapasas plurajn etapojn, kaj ĉiu povas fini la vivon de la paketo pro malsama kialo: mankas kongrua asocio, malsukcesas kontrolo de ripeto aŭ integreco, aŭ la interna paketo estas en ordo sed ne permesata pluen. Nomigi la etapon, kiu malsukcesis, transformas malprecizan aserton ke IPsec estas difektita en konkretan nombrilon kaj konkretan riparon.

Alveno estas unu observo, ne tri

Ekstera registraĵo montranta ke ESP atingas la enirejon pruvas nur ke la ekstera paketo alvenis. Akcepto signifas ke la ricevanto trovis la asocion kaj validigis la paketon. Livero signifas ke la rekuperita interna paketo estis enkursigita al sia celo kaj respondita. Tiuj estas apartaj rezultoj, kaj panelo, kiu kunfandas ilin, kaŝas ĝuste la informon, kiun vi bezonas.

La sama distingo klarigas oftan raporton: la ĉifrada nombrilo de unu flanko supreniras dum la alia raportas neniun utilan malĉifritan trafikon. Ambaŭ asertoj povas esti veraj samtempe, ĉar ili priskribas malsamajn etapojn de la sama provo.

Serĉado de asocio okazas antaŭ malĉifrado

La ricevanto rekunmetas fragmentojn se necese, poste trovas la sekurecan asocion por la paketo. Ĉe ordinara unicast elektas ĝin la SPI kaj la celo. Sen valida asocio ne okazas plua prilaborado, tial malnova aŭ neakordigita SPI produktas silenton anstataŭ eraron videblan al la aplikaĵo.

Asocioj estas laŭdirektaj kaj povas ŝanĝiĝi dum ŝlosila renovigo, do notu la ricevantan flankon, la SPI kaj la tempostampon apud la envena asocio, kiun vi konsideras aktuala. Montrata elira asocio aŭ sana IKE-rilato ne anstataŭas tiun, kiu devus ricevi ĉi tiun paketon.

Kontroloj de ripeto kaj integreco malakceptas antaŭ ol ekzistas utila ŝarĝo

Post kiam asocio estas trovita, la ricevanto aplikas la algoritmojn, kiujn ĝi specifas. Se protekto kontraŭ ripeto estas ŝaltita, sinsekva numero ekster la fenestro estas malakceptata. Malsukceso de integreca kontrolo ankaŭ finas prilaboradon, ĉar la ICV ne kongruas kun la paketo tiel, kiel ĝi alvenis. Neniu el la du kazoj produktas malĉifritan internan paketon, do nenio atingas enkursigadon, politikon aŭ la aplikaĵon.

Uzu la dokumentitajn erarojn kaj nombrilojn de la efektivigo por tiuj statoj anstataŭ trakti ĉiun ricevan malsukceson kiel malakcepton de alirlisto. Malŝalti integrecon aŭ ripetprotekton por igi trafikon aperi ne pruvas ke la envena paketo estis laŭleĝa; ĝi forigas la kontrolon, kiu diris la veron.

UDP-pordo 4500 estas ujo, ne verdikto

NAT-trapaso portas ESP ene de UDP, kaj la sama pordo portas ankaŭ IKE- kaj vivsignajn mesaĝojn. Aktiveco sur 4500 do diras ke io uzas la pordon, ne ke la aplikaĵo produktis ESP-paketon. Klasifiku la ŝarĝon antaŭ ol atribui ĝin al data trafiko.

Tio gravas kiam registraĵo estas la sola disponebla pruvo. Vivsigno alvenanta laŭ horaro povas igi mortan tunelon aspekti viva, kaj IKE-mesaĝo povas igi registraĵon aspekti pli okupata ol la data vojo vere estas.

Nur post eltiro aplikiĝas enkursigado kaj politiko

Kiam malĉifrado sukcesas, la rekuperita interna paketo eniras la normalan vojon: politikaj kontroloj, enkursigado, plusendaj reguloj kaj la cela gastiganto. Paketo povas trapasi ĉiun sekurecan kontrolon kaj tamen esti forĵetita ĉi tie, kaj la responda vojo ankaŭ devas ekzisti. Tiu malsukceso apartenas al plusendado, ne al ESP.

Tenu nombrilojn ligitaj al ilia dokumentita etapo. Ricevo ĉe la interfaco, akceptita ESP, malĉifritaj bajtoj kaj plusenditaj internaj paketoj ne devas esti la sama nombro, precipe kiam akcelita vojo pritraktas la datuman ebenon kaj la rega ebeno raportas aparte. Ĝenerala panel-etikedo ne pruvas ke du nombriloj signifas la samon.

Por unu nova rajtigita operacio, konservu la lastan konfirmitan limon kaj la unuan signifan eraron. Tiu paro diras al la sekva administranto, ĉu esplori transportan liveron, asocion kaj integrecon, aŭ ordinaran internan plusendadon, kaj ĝi evitas la kutiman riparon igi ĉiun regulon permesema por movi nombron.