ESP saapui, mutta mitään ei purettu? Seuraa saapuvia vaiheita

Kun palomuurin salauslaskuri kasvaa tunnelin toimittaessa mitään, vaisto kehottaa laajentamaan käyttösääntöä. Tämä vaisto ohittaa vastaanottajan oman tarkistusjärjestyksen. Saapuva ESP-paketti kulkee useiden vaiheiden läpi, ja jokainen voi päättää paketin elämän eri syystä: vastaavaa assosiaatiota ei ole, toisto- tai eheystarkistus epäonnistuu, tai sisempi paketti on kunnossa mutta sitä ei sallita eteenpäin. Epäonnistuneen vaiheen nimeäminen muuttaa epämääräisen väitteen rikkinäisestä IPsecistä konkreettiseksi laskuriksi ja konkreettiseksi korjaukseksi.

Saapuminen on yksi havainto, ei kolme

Ulkoinen tallenne, joka näyttää ESP:n saapuvan yhdyskäytävälle, todistaa vain, että ulompi paketti saapui. Hyväksyntä tarkoittaa, että vastaanottaja löysi assosiaation ja validoi paketin. Toimitus tarkoittaa, että palautettu sisempi paketti reititettiin määränpäähänsä ja siihen vastattiin. Nämä ovat erillisiä tuloksia, ja paneeli, joka yhdistää ne, kätkee juuri sen tiedon, jota tarvitset.

Sama ero selittää yleisen raportin: toisen osapuolen salauslaskuri kasvaa, kun taas toinen ei raportoi mitään hyödyllistä purettua liikennettä. Molemmat väitteet voivat olla tosia samaan aikaan, koska ne kuvaavat saman yrityksen eri vaiheita.

Assosiaation etsintä tapahtuu ennen purkamista

Vastaanottaja kokoaa fragmentit tarvittaessa ja löytää sitten paketin tietoturva-assosiaation. Tavallisessa unicastissa sen valitsevat SPI ja määränpää. Ilman kelvollista assosiaatiota ei tapahdu lisäkäsittelyä, minkä vuoksi vanhentunut tai sopimaton SPI tuottaa hiljaisuutta eikä sovellukselle näkyvää virhettä.

Assosiaatiot ovat suunnattuja ja voivat muuttua avainten uusinnan aikana, joten kirjaa vastaanottava osapuoli, SPI ja aikaleima sen saapuvan assosiaation viereen, jota pidät nykyisenä. Näytetty lähtevä assosiaatio tai terve IKE-suhde ei korvaa sitä, jonka pitäisi vastaanottaa tämä paketti.

Toisto- ja eheystarkistukset hylkäävät ennen kuin hyötykuormaa on olemassa

Kun assosiaatio on löydetty, vastaanottaja soveltaa sen määrittämiä algoritmeja. Jos toistonsuojaus on käytössä, ikkunan ulkopuolinen järjestysnumero hylätään. Myös eheystarkistuksen epäonnistuminen lopettaa käsittelyn, koska ICV ei vastaa pakettia sellaisena kuin se vastaanotettiin. Kumpikaan tapaus ei tuota purettua sisempää pakettia, joten mikään ei saavuta reititystä, käytäntöä tai sovellusta.

Käytä toteutuksen dokumentoituja virheitä ja laskureita näihin tiloihin sen sijaan, että pitäisit jokaista vastaanottovirhettä käyttöluettelon hylkäyksenä. Eheyden tai toistonsuojauksen poistaminen käytöstä liikenteen näyttämiseksi ei todista, että saapuva paketti oli laillinen; se poistaa tarkistuksen, joka kertoi totuuden.

UDP-portti 4500 on säiliö, ei tuomio

NAT-läpäisy kuljettaa ESP:n UDP:n sisällä, ja sama portti kuljettaa myös IKE- ja keepalive-viestejä. Siksi aktiviteetti portissa 4500 kertoo, että jokin käyttää porttia, ei että sovellus tuotti ESP-paketin. Luokittele hyötykuorma ennen kuin yhdistät sen dataliikenteeseen.

Tällä on merkitystä, kun tallenne on ainoa saatavilla oleva todiste. Aikataulun mukaan saapuva keepalive-viesti voi saada kuolleen tunnelin näyttämään elävältä, ja IKE-viesti voi saada tallenteen näyttämään kiireisemmältä kuin datapolku todella on.

Vasta purkamisen jälkeen reititys ja käytäntö tulevat voimaan

Kun purkaminen onnistuu, palautettu sisempi paketti siirtyy normaaliin polkuun: käytäntötarkistukset, reititys, edelleenlähetyssäännöt ja kohdeisäntä. Paketti voi läpäistä kaikki tietoturvatarkistukset ja silti pudota tässä, ja myös vastauspolun on oltava olemassa. Tämä epäonnistuminen kuuluu edelleenlähetykseen, ei ESP:hen.

Pidä laskurit sidottuina dokumentoituun vaiheeseensa. Liitännän vastaanotto, hyväksytty ESP, puretut tavut ja edelleenlähetetyt sisemmät paketit eivät välttämättä ole sama luku, varsinkin kun kiihdytetty polku hoitaa datatasoa ja ohjaustaso raportoi erikseen. Yleinen paneelimerkintä ei ole todiste siitä, että kaksi laskuria tarkoittaa samaa.

Yhtä uutta valtuutettua toimea varten säilytä viimeisin vahvistettu raja ja ensimmäinen merkityksellinen virhe. Tämä pari kertoo seuraavalle ylläpitäjälle, tutkiaanko kuljetuksen toimitusta, assosiaatiota ja eheyttä vai tavallista sisempää edelleenlähetystä, ja se välttää tavanomaisen korjauksen tehdä jokaisesta säännöstä salliva luvun siirtämiseksi.