ESP jõudis kohale, aga midagi ei dekrüpteeritud? Jälgige sissetulevaid etappe

Kui tulemüüri krüpteerimislugeja kasvab, samal ajal kui tunnel ei edasta midagi, on instinkt juurdepääsureeglit laiendada. See instinkt jätab vahele vastuvõtja enda kontrollide järjestuse. Sissetulev ESP-pakett läbib mitu etappi ja igaüks võib paketi elu lõpetada erineval põhjusel: sobiv seos puudub, kordus- või tervikluskontroll ebaõnnestub, või sisemine pakett on korras, kuid edasi ei lubata. Ebaõnnestunud etapi nimetamine muudab ebamäärase väite, et IPsec on katki, konkreetseks lugejaks ja konkreetseks paranduseks.

Kohalejõudmine on üks vaatlus, mitte kolm

Väline salvestus, mis näitab, et ESP jõuab lüüsini, tõestab ainult seda, et välimine pakett kohale jõudis. Vastuvõtmine tähendab, et vastuvõtja leidis seose ja valideeris paketi. Kohaletoimetamine tähendab, et taastatud sisemine pakett marsruuditi sihtkohta ja sellele vastati. Need on eraldiseisvad tulemused ja armatuurlaud, mis need ühendab, peidab täpselt selle teabe, mida vajate.

Sama eristus selgitab tavalist aruannet: ühe poole krüpteerimislugeja kasvab, samal ajal kui teine ei teata ühestki kasulikust dekrüpteeritud liiklusest. Mõlemad väited võivad olla korraga tõesed, sest need kirjeldavad sama katse erinevaid etappe.

Seose otsimine toimub enne dekrüpteerimist

Vastuvõtja paneb vajadusel fragmendid uuesti kokku ja leiab seejärel paketi turvaseose. Tavalise unicasti puhul valivad selle SPI ja sihtkoht. Ilma kehtiva seoseta edasist töötlust ei toimu, mistõttu aegunud või sobimatu SPI tekitab vaikuse, mitte rakendusele nähtava vea.

Seosed on suunalised ja võivad võtmeuuenduse ajal muutuda, seega kirjutage vastuvõttev pool, SPI ja ajatempel selle sissetuleva seose kõrvale, mida peate praeguseks. Kuvatud väljuv seos või terve IKE-suhe ei asenda seda, mis peaks selle paketi vastu võtma.

Kordus- ja tervikluskontrollid lükkavad tagasi enne, kui kasulik koormus olemas on

Kui seos on leitud, rakendab vastuvõtja algoritme, mille see seos määrab. Kui korduskaitse on sisse lülitatud, lükatakse aknast väljas olev järjekorranumber tagasi. Tervikluskontrolli ebaõnnestumine lõpetab samuti töötluse, sest ICV ei vasta paketile sellisena, nagu see saabus. Kumbki juhtum ei tekita dekrüpteeritud sisemist paketti, seega ei jõua miski marsruutimisse, poliitikasse ega rakendusse.

Kasutage nende olekute jaoks implementatsiooni dokumenteeritud vigu ja lugejaid, selle asemel et käsitleda iga vastuvõtuvea juurdepääsunimekirja keeldumisena. Tervikluse või korduskaitse väljalülitamine liikluse nähtavaks tegemiseks ei tõesta, et sissetulev pakett oli seaduslik; see eemaldab kontrolli, mis rääkis tõtt.

UDP-port 4500 on konteiner, mitte otsus

NAT-i läbimine kannab ESP-d UDP sees ja sama port kannab ka IKE- ning hoiatusõnumeid. Seetõttu ütleb aktiivsus pordil 4500, et miski kasutab seda porti, mitte et rakendus tootis ESP-paketi. Liigitage koormus enne, kui omistate selle andmeliiklusele.

See loeb, kui salvestus on ainus kättesaadav tõend. Graafikujärgselt saabuv hoiatusõnum võib surnud tunneli elusana näidata ja IKE-sõnum võib salvestuse näidata hõivatumana, kui andmetee tegelikult on.

Alles pärast väljavõtmist kehtivad marsruutimine ja poliitika

Kui dekrüpteerimine õnnestub, siseneb taastatud sisemine pakett tavalisse teesse: poliitikakontrollid, marsruutimine, edastusreeglid ja sihtkoha host. Pakett võib läbida kõik turvakontrollid ja siiski siin kõrvale jäetud saada, ning ka vastusetee peab olemas olema. See ebaõnnestumine kuulub edastamise, mitte ESP juurde.

Hoidke lugejad seotud nende dokumenteeritud etapiga. Liidese vastuvõtt, vastuvõetud ESP, dekrüpteeritud baidid ja edastatud sisemised paketid ei pea olema sama arv, eriti kui kiirendatud tee haldab andmetasandit ja juhtimistasand annab aru eraldi. Üldine armatuurlaua silt ei ole tõestus, et kaks lugejat tähendavad sama asja.

Ühe uue volitatud toimingu jaoks hoidke viimast kinnitatud piiri ja esimest asjakohast viga. See paar ütleb järgmisele administraatorile, mida uurida: transpordi kohaletoimetamist, seost ja terviklikkust või tavalist sisemist edastamist, ja hoiab ära tavapärase paranduse muuta iga reegel lubavaks, et numbrit liigutada.