ESP به‌درستی رمزگشایی می‌کند و بسته درونی هنوز به جایی نمی‌رسد

شمارنده دریافت ESP بالا می‌رود، تونل برپا می‌ماند و برنامه هرگز بسته را نمی‌بیند. رمزگشایی انجام شد، بررسی یکپارچگی گذشت و آنگاه گیرنده باید تصمیم می‌گرفت که بار محافظت‌شده در واقع چیست. همان‌جا در این گام آخر است که ناسازگاری قالب پیدا می‌شود و از بیرون هیچ شبیه مشکل فایروال نیست.

وقتی برچسب دروغ می‌گوید چه می‌بینید

هیچ چیز در گزارش کارخواه این را از یک چاله سیاه مسیریابی جدا نمی‌کند. هر دو یک مهلت زمانی برنامه را در کنار تونلی سالم پدید می‌آورند و همین است که نخست شمارنده‌ها سرزنش می‌شوند.

شمارنده دریافتِ رو به بالا واقعاً خبر خوبی است: بسته‌ها می‌رسند و احراز اصالت می‌شوند. اما مدرکی نیست بر اینکه بسته درونی برای چیزی بالاتر از لایه رمزنگاری معنادار بوده باشد.

نوع در پُشتِه زندگی می‌کند

در حالت تونل معمول IPsec، بار محافظت‌شده با ESP یک بسته کامل IP درونی را در خود دارد. فیلد سرآیند بعدی در پُشتِه مشخص می‌کند که این بار چیست و نه یک درگاه TCP است، نه شماره پروتکل در سرآیند بیرونی و نه بخشی از فیلد اولیه SPI و شماره ترتیب. RFC 4303 بخش 2.6 آن را فیلد نوع بار تعریف می‌کند که نامی دقیق برای کاری دقیق است.

مقادیری که با آن‌ها روبه‌رو می‌شوید کوچک و به‌یادسپردنی‌اند: IPv4 برابر 4 (0x04) و IPv6 برابر 41 (0x29) است.

این شماره‌ها از تخصیص‌های شماره پروتکل IANA می‌آیند نه از عرف محلی. فرستنده‌ای که IPv4 را اعلام می‌کند و در همان حال بسته IPv6 را در بر می‌گیرد، ناسازگاری قالب پدید آورده است و هیچ قاعده فایروالی بایت‌هایی را که با برچسب خودشان می‌جنگند درست نمی‌کند.

چگونه آن را از مظنونان همیشگی جدا کنیم

بیشتر بسته‌های گم‌شده عیب کدگذاری نیستند. نخست انتخاب‌گرها را بررسی کنید، زیرا انتخاب‌گر ترافیکی که پیشوند IPv6 را کنار می‌گذارد، ترافیک را پیش از آنکه چیزی کپسوله شود دور می‌ریزد. سپس مسیریابی و بعد پالایش محلی روی میزبان گیرنده را بررسی کنید. تنها پس از کنار گذاشتن این‌هاست که ناسازگاری قالب بار توضیحی باورپذیر می‌شود.

یک ضبط رمزشده این را فیصله نمی‌دهد، چون سرآیند بعدی محافظت‌شده درون بار رمزشده نشسته است. به تشخیص‌های پیاده‌سازی یا یک نقطه مشاهده رمزگشایی‌شده و پشتیبانی‌شده نیاز دارید و هر دو پیش از استفاده مجوز می‌خواهند.

اگر هیچ‌کس نتواند آن مدرک را فراهم کند، شما عیب قالب ندارید. یک نظریه دارید و انتخاب‌گرها هنوز شرط بهترند.

آنچه تعمیر نیست

برای عبور ترافیک بررسی‌های یکپارچگی را خاموش نکنید. بسته‌های رمزشده را روی مسیریاب میانی بازنویسی نکنید، چون کار نمی‌کند و جریان را خراب می‌کند در حالی که در ضبط مفید به نظر می‌رسد. به این بهانه که درگاهی مسدود است قاعده فایروال برنامه را گسترده‌تر باز نکنید. هیچ‌یک از این‌ها به ناسازگاری برچسب نمی‌پردازد.

اگر ناسازگاری تأییدشده از یک پیاده‌سازی همتا می‌آید، یک بازتولید کمینه و پاک‌سازی‌شده نگه دارید و آن را به کانال پشتیبانی همان پیاده‌سازی ببرید.

جریان را بررسی کنید، نه شمارنده را

پس از اصلاح، جریان واقعی IPv6 را سرتاسر بیازمایید: یک درخواست برنامه از میان تونل، پاسخش و جفت نشانی‌ای که هر طرف می‌بیند. شمارنده ESP که بالا می‌رود تنها ثابت می‌کند بسته‌ها دریافت و احراز می‌شوند. درباره اینکه بسته درونی به کار می‌آمد یا نه هیچ نمی‌گوید.

هر دو نتیجه را در تیکت ثبت کنید. حرکت شمارنده به‌همراه جریانی کارکن تعمیر است؛ حرکت شمارنده به‌تنهایی دقیقاً همان چیزی است که پیش از شروع داشتید.