ESP malĉifras senprobleme, kaj la interna paketo tamen iras nenie

La ESP-ricevkalkulilo pliiĝas, la tunelo restas supre, kaj la aplikaĵo neniam vidas la paketon. Malĉifrado okazis, integriteckontrolo sukcesis, kaj poste la ricevanto devis decidi, kio efektive estas la protektita utilaĵo. Ĝuste ĉe tiu lasta paŝo aperas format-nekongruo, kaj de ekstere ĝi tute ne aspektas kiel fajroŝirma problemo.

Kion vi vidas, kiam la etikedo mensogas

Nenio en la klienta protokolo distingas ĉi tion de nigra truo en enkursigo. Ambaŭ kreas aplikaĵan tempolimon apud sana tunelo, tial la kalkuliloj unue estas kulpigitaj.

Kreskanta ricevkalkulilo estas vere bona novaĵo: paketoj alvenas kaj aŭtentiĝas. Ĝi ne pruvas, ke la interna paketo havis sencon por io super la kripta tavolo.

La tipo loĝas en la postaĵo

En la ordinara IPsec-tunela reĝimo, la de ESP protektita utilaĵo enhavas kompletan internan IP-paketon. La kampo de sekva kaplinio en la postaĵo identigas, kio estas tiu utilaĵo, kaj ĝi ne estas TCP-pordo, nek protokola numero en la ekstera kaplinio, nek parto de la komenca kampo SPI kaj sinsekva numero. RFC 4303 sekcio 2.6 difinas ĝin kiel la kampon de utilaĵa tipo, kio estas preciza nomo por preciza tasko.

La valoroj, kiujn vi renkontos, estas malgrandaj kaj indas memori: IPv4 estas 4 (0x04) kaj IPv6 estas 41 (0x29).

Tiuj numeroj venas el la protokolnumeraj atribuoj de IANA, ne el loka konvencio. Sendinto, kiu deklaras IPv4 dum ĝi enhavas IPv6-paketon, produktis formatan nekongruecon, kaj neniu fajroŝirma regulo riparas bajtojn, kiuj kontraŭdiras sian propran etikedon.

Kiel distingi ĝin de la kutimaj suspektatoj

Plej multaj mankantaj paketoj ne estas kodadaj difektoj. Unue kontrolu la selektilojn, ĉar trafika selektilo, kiu ekskludas la IPv6-prefikson, faligas trafikon antaŭ ol io ajn estas enkapsuligita. Poste kontrolu enkursigon, tiam lokan filtradon sur la riceva gastiganto. Nur post kiam tiuj estas ekskluditaj, utilaĵa format-nekongruo fariĝas kredinda klarigo.

Ĉifrita kaptaĵo ne solvos ĝin, ĉar la protektita sekva kaplinio sidas interne de la ĉifrita utilaĵo. Vi bezonas efektivigajn diagnostikaĵojn aŭ subtenatan malĉifritan observpunkton, kaj ambaŭ postulas rajtigon antaŭ uzo.

Se neniu povas prezenti tiun pruvon, vi ne havas formatan fuŝon. Vi havas teorion, kaj la selektiloj restas la pli bona veto.

Kio ne estas la riparo

Ne malŝaltu integriteckontrolojn por ke trafiko pasu. Ne reverku ĉifritajn paketojn ĉe intera enkursigilo, ĉar tio ne povas funkcii kaj difektos la fluon dum ĝi aspektas helpema en kaptaĵo. Ne malfermu pli vastan aplikaĵan fajroŝirman regulon laŭ la teorio, ke pordo estas blokata. Neniu el tiuj tuŝas la etikedan nekongruecon.

Se konfirmita nekongruo venas de samtavola efektivigo, konservu minimuman senpolvigiitan reproduktaĵon kaj portu ĝin al la subtenata kanalo de tiu efektivigo.

Kontrolu la fluon, ne la kalkulilon

Post la korekto, testu la faktan IPv6-fluon de fino al fino: aplikaĵa peto tra la tunelo, ĝia respondo, kaj la adresparo, kiun ĉiu flanko observas. Kreskanta ESP-kalkulilo pruvas nur, ke paketoj estas ricevataj kaj aŭtentigataj. Ĝi diras nenion pri tio, ĉu la interna paketo estis uzebla.

Notu ambaŭ rezultojn en la bileto. Kalkulila moviĝo plus funkcianta fluo estas riparo; kalkulila moviĝo sola estas ĝuste tio, kion vi havis antaŭ la komenco.