Zenbat kontrol-batuketa ditu VPN pakete batek? Gertatzen denaren arabera

VPN pakete batek zehazki bi kontrol-batuketa daramatzala dioen baieztapena txukun entzuten da eta askotan nahikoa okerra da aztertzeko. Kopurua agertzen diren IP bertsioen, garraiatzen den garraio-protokoloaren eta tuneleko babes-formatuaren araberakoa da. Goiburuko kontrol-batuketa bat, goi-mailako kontrol-batuketa bat eta osotasun-etiketa kriptografiko bat hiru mekanismo dira, hiruna irismenekin. Haiek zenbatzen hasteko, bakoitzak zer estaltzen duen markatu behar da.

Egiaztatu zein IP bertsio dauden benetan kablean

IPv4 goiburuek 16 biteko goiburu-kontrol-batuketa daramate, eta IPv6 goiburuek ez dute halakorik daramate. Gertaera bakar horrek tunel bakoitzaren kopurua aldatzen du, IPv4 IPv6 barruan sartzeak eta IPv6 IPv4 barruan sartzeak dokumentu desberdinak sortzen baitituzte. Tunel batek bi familiak aldi berean garraia ditzake, eta orduan norabide batek besteak ez duen eremu bat eduki dezake. Ezarri bertsioak ezer zenbatu aurretik.

Idatzi diseinua goiburuen zerrenda gisa, ez irudi gisa. Ordena garrantzitsua da kaptura bat irakurtzean, eta kontrol-batuketa eremuaren presentzia edo absentzia da markatu beharreko lehen gauza.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Lehen lerroak ez du IP goiburu-kontrol-batuketarik bere IP goiburuen inon, eta bigarrenak bi ditu bi goiburuak IPv4 direnean. Tunel teknologia bera, kopuru desberdina, eta lerroetako batek ere ez da kable-formatu osoa.

Egiaztatu zer estaltzen duen kontrol-batuketa bakoitzak

Estaldura jendeak saltatzen duen zatia da, eta hura da kopuru bat esanguratsu egiten duena. IPv4 goiburu-kontrol-batuketak goiburua babesten du eta besterik ez, beraz ez du ezer esaten atzean dagoen karga erabilgarriaz. IPv6 gaineko UDP kontrol-batuketak sasigoiburu bat eta UDP goiburua eta karga erabilgarria estaltzen ditu, hau da, daraman paketearen barruraino iristen da datagrama tunelean doanean. TCPk bere kontrol-batuketa du, sasigoiburuarekiko antzeko mendekotasunarekin. Hiru irismen desberdin dira, hirurak kontrol-batuketa deitzen badira ere.

RFC 791 etsenpluak IPv4 goiburuaren egiaztapena eta hop bakoitzean berriz kalkulatzea definitzen ditu, eta RFC 8200 etsenpluak IPv6 gaineko goi-mailako tratamendua, sasigoiburua barne. Inongo dokumentuak ez du esaten VPN pakete batek kontrol-batuketa kopuru finkoa duenik, inork ez baitu tunel bat deskribatzen.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Egiaztatu osotasun-babesa bereizita

ESP osotasuna babes kriptografikoa da, bere estaldura eta algoritmoaren araberako irudikapena dituena. Ez da IP edo UDP kontrol-batuketa beste izen batekin, eta bere luzera aukeratutako eraikuntzaren arabera aldatzen da. Osotasun-egiaztapen batek paketearen zati jakin bat estaltzen du, eta erabilitako moduaren arabera ESP goiburua eta karga erabilgarriaren zati bat sar ditzake. Ezagututako zabalerako kontrol-batuketa eremu gisa zenbatzea da azalpen hauetako gehienak hondatzen diren tokia.

Irakurri aukeratutako eraikuntza byteak zenbatu aurretik, eta deskribatu emaitza osotasun-babes gisa, ez beste etiketa bateko kontrol-batuketa gisa. Deskodetzaileak eremuaren izena emango dizu galdetzen badiozu.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Egiaztatu behaketa-puntua zenbatu aurretik

Barne-interfazeko kaptura batek eta kableko kaptura batek erabat desberdinak diren geruzak erakuts ditzakete. Barne-interfazean tunela jadanik kenduta dago, beraz daraman paketea ikusten duzu eta kanpoko goibururik ez. Kablean kanpoko goiburuak eta irakurri ezin duzun karga erabilgarri zifratua ikusten dituzu. Inongo ikuspegik ez du okerrik, eta ez dira objektu beraren ikuspegiak. Adierazi kaptura non hartu zen edozein kopuru aipatu aurretik.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Lehen komandoak kanpoko paketea erakusten du bere osotasun-trailerrarekin, eta bigarrenak daraman paketea bere garraio-kontrol-batuketarekin. Bi kapturetako zenbakiak batzeak ez du ezer bikoizten, baina pakete bera bi aldiz azaltzen du.

Alderatu kopurua benetako kaptura batekin

Deskodetatu pakete bat erabat eta markatu deskodetzaileak kontrol-batuketa edo osotasun-balio deitzen duen eremu bakoitza. Gero alderatu marka bakoitza idatzi duzun diseinuarekin, eta ezabatu benetan zenbatzen ez ari zaren geruza bati dagozkionak. Ariketa hori gainditzen duen kopurua defendagarria da, eta memoriarik aipatutakoa ez.

Errepikatu erantzun-norabiderako, bi familiak daramatzan tunel bat norabide eta fluxu bakoitzeko desberdina izan baitaiteke. Gero adierazi kopurua bere irismenarekin, adibidez hiru kontrol-batuketa barne-pakete honetarako behaketa-puntu honetan, eta ez VPN paketeen propietate orokor gisa.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum