Zergatik zifratzeak soilik ez duen gelditzen berriz bidalitako pakete bat

Babestutako paketeak ez dira kriptografikoki iraungitzen, beraz duela bost minutu baliozkoa zen pakete bat oraindik baliozkoa da orain, zifratzeak eta osotasun-babesak ez baitute ezer esaten byteak noiz sortu ziren. Trafikoa harrapatu eta berriz bidal dezakeen erasotzaile batek ez du zifratua hautsi behar. Horregatik garraiatzen du tunel protokolo serio bakoitzak segida-egoera bere gakoen ondoan.

Mekanismoa txikia da, eta bere hutsegite-moduak erraz nahasten dira pakete-galerekin.

Testu zifratu balioduna ez da testu zifratu freskoa

Autentifikazioak galdera bati erantzuten dio: byte hauek aldatu gabe etorri dira gakoa duen norbaitengandik. Ez du erantzuten hargailuak lehen aldiz ikusten dituen ala ez. Berriz bidalitako pakete batek lehen proba ezin hobeto gainditzen du, eta horrexegatik ezin du osotasun-egiaztapenak bakarrik berbidalketa bat gelditu eta horrexegatik behar du protokoloak onarpenari buruzko bigarren arau bat. Soilik autentifikatzen duen hargailuak ez du defentsarik grabazio bat duen erasotzaile baten aurka.

Arau hori merkea da ezartzen eta merkea adierazten: onartu emandako pakete babestu bat behin, emandako gako baten pean. Arlo honetako gainerako guztia ezarpenak behin hori nola jarraitzen duen dator.

Berbidalketa-bazterketa deszifratze-hutsegite gisa irakurtzeak guztiz okerreko azpisistemara bidaltzen zaitu.

Segida-zenbaki bat eta leiho bat

IPsec ESPk segida-zenbaki bat darama eta hargailuak duela gutxi onartutako balioen leiho irristakor bat mantentzen du, eta ESP zehaztapenak leihoaren tamaina lehenetsia eta hura zabaltzeko aukera deskribatzen ditu. WireGuardek beste bide bat hartzen du, gako bakoitzeko kontagailu batekin eta haren aurka egindako egiaztapen esplizitu batekin. Inongo diseinuk ez du suposatzen paketeak ordenan iristen direnik, sare errealek berrantolatu egiten dituztelako. Biek berrantolamendua onartzen dute, eta batek ere ez du errepikapena onartzen.

Leihoak egiten du toleranzia hori posible. Ikusitako baliorik altuenetik pixka bat atzerago dagoen pakete bat oraindik onar daiteke aurrez onartu ez bada; askoz atzerago dagoen bat, edo bere lekua jada markatuta duen bat, baztertu egiten da. Handitu leihoa eta berrantolamendu gehiago onartuko duzu asoziazio bakoitzeko egoera gehiagoren truke.

Diagnostika-kontagailuek zein kasutan zauden erakusten dizute. Berbidalketa-bazterketek kontagailu zehatz bat handitzen dute, eta ez errore orokor bat, eta kontagailu hori irakurtzea da lehen behaketa erabilgarria.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Egoera gakoarena da, ez ostalariarena

Kontagailuaren egoera segurtasun-asoziazio bati edo gako-garai bati lotuta dago, beraz gako-berritze batek testuinguru fresko bat eta bere segida-espazio propioa sortzen ditu. Kontagailu bat garbitzeak gakoa ordeztu gabe, edo asoziazio bat berrerabiltzeak eskuzko berrezarpen baten ondoren, hargailuaren leihoak duen suposizioa hausten du. Horregatik dago protokoloak gidatutako gako-berritzea, eta ez operadoreak ikus dezakeen berrezartze-botoi bat.

Tunel bat gaizki portatzen denean eskuzko esku-hartze baten ondoren, galdetu ea esku-hartzeak segida-egoera ukitu duen. Berdin dirudien konfigurazio batek desberdin joka dezake, heredatu duen egoera ez delako espero duen egoera.

Diagnostikatu arrazoia ezer desaktibatu aurretik

Galera, berrantolamendua, trafiko bikoiztua eta ezartze-hutsegite bat berbidalketa gisa agertzen dira guztiak, eta horietako bat bakarrik da berbidalketa-arazo bat. Zarata isilarazteko egiaztapena desaktibatzeak fidatzen zinen propietatea kentzen du eta jatorrizko arrazoia aurkitzea zailtzen du, orain berbidalketek ez baitute inolako azalpenik.

Bildu frogak mugatuta: asoziazio-identifikatzaileak, segida-zenbakiak eta kontagailuak, karga erabilgarriak baztertuta. Hori nahikoa da bikoiztu bat berrantolatutako iritsiera batetik bereizteko, eta ez du zure diagnostika-fitxategia erabiltzailearen trafikoaren kopia bihurtzen.

Zer ez duen prometzen egiaztapenak

Berbidalketaren aurkako babesa protokolo baten barruko pakete-prozesamenduaren propietatea da. Ez du esan nahi operadoreak ez duen erregistrorik gordetzen, webgune batek ezin duenik kontu bat ezagutu edo saio bat anonimoa denik. Sistema ezberdinei buruzko galdera ezberdinak dira, eta berbidalketaren aurkako diseinu sendo batek ez dio horietako bati ere erantzuten.

Mantendutako softwarea ezarpen onartuekin da erabiltzaileak duen kontrol praktikoa. Protokoloak paketea darama; gainerako guztia erabaki operatiboa izaten jarraitzen du.