ESP iritsi da baina ezer ez da deszifratu? Jarraitu sarrerako etapak

Suhormaren zifratze-kontagailua igotzen ari denean tunelak ezer ematen ez duen bitartean, sarbide-arau bat zabaltzeko bulkada sentitzen da. Bulkada horrek hartzailearen beraren egiaztatze-sekuentzia saltatzen du. Sarrerako ESP paketea hainbat etapatan barrena igarotzen da, eta bakoitzak paketearen bizitza amaitu dezake arrazoi desberdinengatik: ez dago bat datorren elkarterik, errepikapen- edo osotasun-hutsegitea, edo barneko paketea ondo dago baina ez da aurrera onartzen. Huts egin zuen etapa izendatzeak IPsec hondatuta dagoelako baieztapen lausoa kontagailu zehatz eta konponketa zehatz bihurtzen du.

Iristea behaketa bat da, ez hiru

ESP atebidera iristen dela erakusten duen kanpoko kapturak kanpoko paketea iritsi dela baino ez du frogatzen. Onarpenak esan nahi du hartzaileak elkartea aurkitu eta paketea baliozkotu duela. Entregatzeak esan nahi du berreskuratutako barneko paketea bere helmugara bideratu eta erantzun zaiola. Emaitza bereiziak dira, eta horiek batzen dituen panel batek behar duzun informazioa ezkutatzen du zehazki.

Bereizketa berak ohiko txosten bat azaltzen du: alde bateko zifratze-kontagailua igotzen da, besteak trafiko deszifratu erabilgarririk jakinarazten ez duen bitartean. Bi baieztapenak aldi berean egiazkoak izan daitezke, saiakeraren etapa desberdinak deskribatzen dituztelako.

Elkartearen bilaketa deszifratu aurretik gertatzen da

Hartzaileak zatiak berriro elkartzen ditu beharrezkoa bada, eta gero paketearen segurtasun-elkartea aurkitzen du. Unicast arruntean SPI eta helmugak hautatzen dute. Elkarte baliozkorik gabe ez dago prozesamendu gehiagorik, eta horregatik SPI zaharkitu edo desegoki batek isiltasuna sortzen du aplikazioak ikus dezakeen errorearen ordez.

Elkarteak norabidezkoak dira eta gakoen berritzean alda daitezke, beraz, erregistratu hartzaile-muturra, SPI eta denbora-marka unekotzat jotzen duzun sarrerako elkartearen ondoan. Erakutsitako irteerako elkarte batek edo IKE harreman osasuntsu batek ez du pakete hau jaso beharko lukeena ordezkatzen.

Errepikapen- eta osotasun-egiaztatzeek edukia existitu aurretik uzten dute

Elkartea aurkitu ondoren, hartzaileak elkarte horrek zehazten dituen algoritmoak aplikatzen ditu. Errepikapenaren aurkako babesa gaituta badago, leihoaz kanpoko sekuentzia-zenbakia baztertzen da. Osotasun-egiaztatzearen hutsegiteak ere prozesamendua amaitzen du, ICV ez baitator bat jasotako paketearekin. Bi kasuek ez dute deszifratutako barneko paketerik sortzen, beraz, ezer ez da bideratze, politika edo aplikaziora iristen.

Egoera horietarako erabili implementazioaren errore eta kontagailu dokumentatuak, harrera-hutsegite bakoitza sarbide-zerrendaren ukatze gisa tratatu ordez. Osotasuna edo errepikapenaren aurkako babesa desgaitzea trafikoa ager dadin ez da frogatzen sarrerako paketea zilegi zela; egia esaten zuen egiaztatzea kentzen du.

UDP 4500 ataka edukiontzi bat da, ez epai bat

NAT zeharkaldiak ESP UDP barruan eramaten du, eta ataka berak IKE eta bizirik mantentze-mezuak ere eramaten ditu. Beraz, 4500 atakako jarduerak zerbait ataka erabiltzen ari dela esaten du, aplikazioak ESP paketea sortu duela ez. Sailkatu edukia datu-trafikoari egotzi aurretik.

Hori garrantzitsua da kaptura froga bakarra denean. Programari jarraiki iristen den bizirik mantentze-mezu batek tunel hila bizirik dagoela irudituko du, eta IKE mezu batek kaptura datu-bideak benetan duen baino okupatuagoa irudituko du.

Erauzketaren ondoren baino ez dira aplikatzen bideratzea eta politika

Deszifratzeak arrakasta duenean, berreskuratutako barneko paketea bide arruntean sartzen da: politika-egiaztatzeak, bideratzea, birbidalketa-arauak eta helmugako host-a. Pakete bat segurtasun-egiaztatze guztiak gaindi ditzake eta hala ere hemen baztertua izan, eta erantzun-bidea ere egon behar da. Hutsegite hori birbidalketarena da, ez ESP-rena.

Eduki kontagailuak beren etapa dokumentatuari lotuta. Interfazearen harrera, onartutako ESP, deszifratutako byteak eta birbidalitako barneko paketeak ez dute zenbaki bera izan behar, batez ere bide bizkortu batek datu-planoa kudeatzen duenean eta kontrol-planoak bereiz jakinarazten duenean. Panelaren etiketa orokor bat ez da bi kontagailuk gauza bera esan nahi duten froga.

Eragiketa baimendu berri baterako, gorde azken muga berretsia eta lehen errore esanguratsua. Bikote horrek hurrengo administratzaileari esaten dio zer ikertu: garraioaren entrega, elkartea eta osotasuna, edo barneko birbidalketa arrunta, eta zenbaki bat mugitzeko arau guztiak baimengile bihurtzeko ohiko konponketa saihesten du.