ESP رسید اما چیزی رمزگشایی نشد؟ مراحل ورودی را دنبال کنید
دریافت، پردازش امنیتی و ارسال سه نتیجه متفاوت هستند. پیش از گستردن هر قاعده دسترسی مشخص کنید کدام مرحله بسته را حذف کرده است.
وقتی شمارنده رمزنگاری فایروال بالا می‌رود و تونل چیزی تحویل نمی‌دهد، غریزه می‌گوید یک قاعده دسترسی را گسترده کنید. این غریزه توالی بررسی‌های خود گیرنده را نادیده می‌گیرد. بسته ESP ورودی از چند مرحله می‌گذرد و هر مرحله می‌تواند به دلیلی متفاوت به عمر بسته پایان دهد: نبود انجمن مطابق، خطای بازپخش یا یکپارچگی، یا بسته داخلی که سالم است اما اجازه عبور ندارد. نام بردن از مرحله‌ای که شکست خورده، ادعای مبهم خراب بودن IPsec را به یک شمارنده مشخص و یک اصلاح مشخص تبدیل می‌کند.
رسیدن یک مشاهده است، نه سه
یک ضبط بیرونی که نشان می‌دهد ESP به دروازه می‌رسد فقط ثابت می‌کند بسته بیرونی رسیده است. پذیرش یعنی گیرنده انجمن را پیدا و بسته را اعتبارسنجی کرده است. تحویل یعنی بسته داخلی بازیابی‌شده به مقصد خود مسیریابی و پاسخ داده شده است. اینها نتایج جداگانه‌اند و داشبوردی که آنها را یکی می‌کند دقیقا همان اطلاعاتی را پنهان می‌کند که لازم دارید.
همین تمایز یک گزارش رایج را توضیح می‌دهد: شمارنده رمزنگاری یک طرف بالا می‌رود در حالی که طرف دیگر هیچ ترافیک رمزگشایی‌شده مفیدی گزارش نمی‌کند. هر دو گزاره می‌توانند همزمان درست باشند، چون دو مرحله متفاوت از یک تلاش را توصیف می‌کنند.
جست‌وجوی انجمن پیش از رمزگشایی انجام می‌شود
گیرنده در صورت نیاز قطعات را بازسازی می‌کند و سپس انجمن امنیتی بسته را پیدا می‌کند. در یونی‌کست معمولی، SPI و مقصد آن را انتخاب می‌کنند. بدون انجمن معتبر پردازش بیشتری انجام نمی‌شود، به همین دلیل SPI کهنه یا ناهمخوان سکوت تولید می‌کند نه خطایی که برنامه ببیند.
انجمن‌ها جهت‌دار هستند و ممکن است در هنگام تمدید کلید تغییر کنند، بنابراین طرف گیرنده، SPI و مهر زمانی را کنار انجمن ورودی که آن را جاری می‌دانید ثبت کنید. انجمن خروجی نمایش‌داده‌شده یا رابطه سالم IKE جایگزین انجمنی نیست که باید این بسته را دریافت کند.
بررسی‌های بازپخش و یکپارچگی پیش از وجود محموله رد می‌کنند
پس از یافتن انجمن، گیرنده الگوریتم‌هایی را که آن انجمن تعیین می‌کند اعمال می‌کند. اگر محافظت در برابر بازپخش فعال باشد، شماره ترتیبی بیرون از پنجره رد می‌شود. شکست بررسی یکپارچگی نیز پردازش را پایان می‌دهد، چون ICV با بسته در همان شکلی که رسیده مطابقت ندارد. هیچ‌یک از این دو حالت بسته داخلی رمزگشایی‌شده تولید نمی‌کند، پس چیزی به مسیریابی، سیاست یا برنامه نمی‌رسد.
برای این وضعیت‌ها از خطاها و شمارنده‌های مستند پیاده‌سازی استفاده کنید، نه اینکه هر شکست دریافت را رد فهرست دسترسی بدانید. خاموش کردن یکپارچگی یا محافظت در برابر بازپخش برای ظاهر شدن ترافیک ثابت نمی‌کند بسته ورودی مشروع بوده است؛ بررسی‌ای را حذف می‌کند که حقیقت را گزارش می‌کرد.
پورت UDP 4500 یک ظرف است، نه حکم
عبور از NAT، ESP را درون UDP حمل می‌کند و همان پورت پیام‌های IKE و نگه داشتن اتصال را نیز حمل می‌کند. پس فعالیت روی 4500 می‌گوید چیزی از این پورت استفاده می‌کند، نه اینکه برنامه بسته ESP تولید کرده است. پیش از نسبت دادن آن به ترافیک داده، محموله را دسته‌بندی کنید.
این موضوع زمانی مهم است که ضبط تنها مدرک موجود باشد. پیام نگه داشتن اتصالی که به‌موقع می‌رسد می‌تواند تونل مرده را زنده نشان دهد و پیام IKE می‌تواند ضبط را شلوغ‌تر از مسیر داده واقعی نشان دهد.
مسیریابی و سیاست فقط پس از استخراج اعمال می‌شوند
وقتی رمزگشایی موفق شود، بسته داخلی بازیابی‌شده وارد مسیر عادی می‌شود: بررسی‌های سیاست، مسیریابی، قواعد ارسال و میزبان مقصد. یک بسته می‌تواند همه بررسی‌های امنیتی را بگذراند و باز هم اینجا حذف شود، و مسیر پاسخ هم باید وجود داشته باشد. این شکست به ارسال تعلق دارد، نه به ESP.
شمارنده‌ها را به مرحله مستند خودشان گره بزنید. دریافت در واسط، ESP پذیرفته‌شده، بایت‌های رمزگشایی‌شده و بسته‌های داخلی ارسال‌شده لازم نیست یک عدد باشند، به‌ویژه وقتی مسیر شتاب‌یافته صفحه داده را اداره می‌کند و صفحه کنترل جداگانه گزارش می‌دهد. برچسب عمومی داشبورد اثبات نیست که دو شمارنده یک معنا دارند.
برای یک عملیات مجاز تازه، آخرین مرز تاییدشده و نخستین خطای مرتبط را نگه دارید. این جفت به مدیر بعدی می‌گوید تحویل انتقال، انجمن و یکپارچگی یا ارسال داخلی معمولی را بررسی کند، و از اصلاح معمول یعنی سهل کردن همه قواعد برای جابه‌جایی یک عدد جلوگیری می‌کند.