Irteerako ESP erantzunik gabe ez da VPN-a hilda egotea esan nahi
ESP-k norabide bat babesten du asoziazio bakoitzeko eta ez du ezer aitortzen. Lerrokatu barne-elkarrizketa eta sarrerako SA zerbitzaria erantzun gabetzat jo aurretik.
Trafikoa hartu zenuten IPsec ostalarian, ESP paketeak irteten ikusi zenituzten, ezer ez zen itzuli eta urruneko aldea hondatuta dagoela ondorioztatu zenuten. Harrapaketak ez du ondorio hori babesten. ESP-k elkarrizketa baten norabide bat babesten du eta ez du ezer aitortzen IP mailan, beraz itzulerako ESP ez egoteak aplikazioak esateko ezer ez zuela esa dezake, tunela hilda egoteak bezain erraz. Irakurri barne-trukaketa eta harrera aldeko egoera, bi muturretatik edozeini errua bota aurretik.
Mitoa: babestutako pakete bakoitzak erantzun bat merezi du
ESP ez da eskaera-erantzun protokoloa. Politikak aukeratzen duena zifratzen eta autentifikatzen du, eta hargailuak barne-pakete hori balioztatzen, deszifratzen eta entregatzen du, bere paketerik sortu gabe. Helburuak alde batera uzten duen UDP kontsulta batek, edo sarrerako politikak baztertzen duen ICMP oihartzun batek, isiltasuna sortzen dute bi norabideetan emaitza zuzen gisa. Isiltasun hori garraio-hutsegite gisa tratatzeak inoiz egon ez zen sare-hutsegite baten bila bidaltzen zaitu.
Norabide bakarreko harrapaketa batek benetan frogatzen duena da bidaltzailearen pila puntu horretan zerbait zifratu zuela. Ez ezer iritsierari buruz, eta ez ezer erantzuteko asmoari buruz. Galdera erabilgarria ez da "zergatik ez dago erantzunik", baizik eta "zer sortu behar zuen barne-elkarrizketak".
Bi SA, bi SPI, elkarrizketa bat
IPsec segurtasun-asoziazioak norabide bakarrekoak dira, beraz babestutako trukaketa arruntak sarrerako asoziazio bat eta irteerako asoziazio bat ditu, identifikatzaile bereiziak eta egoera independentea dituztenak. Irteerako paketearen SPI-aren arabera itzulera-trafikoa bilatzea kategoria-errore bat da, erantzun oro parekoaren irteerako SA propioaren pean doalako bere SPI propioarekin. Parekatu bikotea trafiko-hautatzaileen eta parekoaren helbideen arabera.
Gakoen berritzeak irudia zailtzen du segundo batzuetan, egoera zaharrak eta ordezkatze-egoerak gainjar baitaitezke. Sintoma gakoen berritze baten inguruan hasi bada, bildu asoziazio-identifikatzaileak eta denbora-zigiluak batera, konexioaren izena soilik hartu ordez.
Hargailuak zer egin behar du ezerk erantzun aurretik
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Errenkada bakoitzak bere kabuz egiten du huts, eta hutsegite bakoitzak jabe desberdin bat du, horregatik harrapaketa bakar batek ezin ditu bereizi. Sarrerako kontagailua iristeko froga zuzen bakarra da, autentifikazioan edo errepikapen-kontrolean huts egiten duen paketea erantzunik gabe baztertzen delako. Sarrerako kontagailua mugitu ez zaion parekoak, beraz, ez dizu ezer esaten bere politikari buruz.
Entrega deszifratzearen urrats bereizia da. Egoera baliozkoa izan daiteke eta paketea geroago baztertua izan sarrerako politika batek edo barne-helmuga barne hartzen ez duen ibilbide batek, beraz egiaztatu helburuko ostalariak testu laua ikusi zuen, kontagailu garbiak paketea nahi zenuen lekura joan zela esan nahi duela suposatu ordez.
Jatorrizko ESP ez da UDP
Jatorrizko ESP IP protokolo 50 da, ez da TCP ez UDP eta ez du porturik batere. Beraz, UDP 500-en IKE baimentzen duen suebaki-arauak ez du ezer esaten datu-bideari buruz, eta portuen inguruan idatzitako iragazki batek tunelari negoziatzen utzi eta gero barruan daraman guztia baztertu dezake. Probatu datu-bidea bere aldetik, benetan behatu zenuen moduan.
NAT baten atzean forma aldatzen da: babestutako karga UDP barruan doa, normalean 4500 portuan, RFC 3948 arauak definitzen duen bezala. Erregistratu modu aktiboa edozein arau idatzi aurretik, bideko gailu batek jatorrizko ESP eta UDPan kapsulatutako ESP guztiz desberdin trata baititzake, eta tarteko kaxa batzuek bat onartzen dute eta bestea baztertu.
Irakurri gertaera honi dagozkion kontagailuak
strongSwan ostalari batean, swanctl --list-sas tresnak asoziazio bakoitzeko pakete- eta byte-kontagailuak ematen ditu bi norabideetan, eta hori nahikoa da "inoiz iritsi ez" eta "iritsi eta erantzun gabe" bereizteko. Linuxen, /proc/net/xfrm_stat tresnak huts-errore agregatuak zenbatzen ditu, hala nola falta den egoera, falta den politika eta protokolo-erroreak. Guztirako horiek abiaraztetik metatzen dira eta sare-izen-espazio bati dagozkio, beraz zenbaki handia ez da egozpena.
Hartu bi irakurketa gertaeraren leihoaren inguruan izen-espazio egokian eta alderatu aldeak, bestela joan den asteko erroreak gaur arratsaldeko txartelari itsatsiko dizkiozu. Jarri izen-espazioa eta bi denbora-zigiluak txartelean, hurrengo irakurleak alderaketa erreproduzitu dezan guztirako bati sinetsi ordez.
Izenda ezazu etapa, ez susmagarria
Ondorio erabilgarri batek esaten du non gelditu zen paketea: inoiz jaso gabea, jaso eta baztertua, entregatua baina erantzunik gabea, edo erantzundakoa eta itzulerako bidean galdua. Horietako bakoitzak jabe desberdin bat eta hurrengo komando desberdin bat adierazten ditu. "VPN zerbitzaritik erantzunik ez" lau hutsegite desberdin esaldi bakarrean zapaltzen ditu, harrapaketak inoiz justifikatu ez zuen esaldi batean.
Eduki itzazu harrapaketak estu, eta eduki kernel-egoera gordina txarteletatik kanpo, ostalariatik ateratzeko zerikusirik ez duen gako-materiala eraman baitezake. Kontagailuen aldeak eta denbora-zigiluak dira hurrengo pertsonari emateko merezi duten zatiak.