ESP arrive mais rien n'est déchiffré ? Suivez les étapes d'entrée

Quand le compteur de chiffrement d'un pare-feu grimpe alors que le tunnel ne livre rien, le réflexe est d'élargir une règle d'accès. Ce réflexe saute la propre séquence de contrôles du récepteur. Un paquet ESP entrant traverse plusieurs étapes, et chacune peut mettre fin à la vie du paquet pour une raison différente : aucune association correspondante, un échec de rejeu ou d'intégrité, ou un paquet intérieur correct mais non autorisé à poursuivre. Nommer l'étape qui a échoué transforme une affirmation vague selon laquelle IPsec est cassé en un compteur précis et une correction précise.

L'arrivée est une observation, pas trois

Une capture externe montrant qu'ESP atteint la passerelle ne prouve que l'arrivée du paquet extérieur. L'acceptation signifie que le récepteur a trouvé l'association et validé le paquet. La livraison signifie que le paquet intérieur récupéré a été routé vers sa destination et a reçu une réponse. Ce sont des résultats distincts, et un tableau de bord qui les fusionne cache exactement l'information dont vous avez besoin.

La même distinction explique un rapport courant : le compteur de chiffrement d'un pair monte alors que l'autre ne signale aucun trafic déchiffré utile. Les deux affirmations peuvent être vraies en même temps, car elles décrivent des étapes différentes d'une même tentative.

La recherche de l'association précède le déchiffrement

Le récepteur réassemble les fragments si nécessaire, puis trouve l'association de sécurité du paquet. En unicast ordinaire, le SPI et la destination la choisissent. Sans association valide, aucun traitement supplémentaire n'a lieu, c'est pourquoi un SPI obsolète ou incohérent produit du silence plutôt qu'une erreur visible par l'application.

Les associations sont directionnelles et peuvent changer lors d'un renouvellement de clés, notez donc le pair récepteur, le SPI et l'horodatage à côté de l'association entrante que vous croyez actuelle. Une association sortante affichée, ou une relation IKE saine, ne remplace pas celle qui devrait recevoir ce paquet.

Les contrôles de rejeu et d'intégrité rejettent avant qu'une charge utile existe

Une fois l'association trouvée, le récepteur applique les algorithmes qu'elle spécifie. Si la protection contre le rejeu est activée, un numéro de séquence hors de la fenêtre est rejeté. Un échec du contrôle d'intégrité met aussi fin au traitement, car l'ICV ne correspond pas au paquet tel qu'il a été reçu. Aucun des deux cas ne produit de paquet intérieur déchiffré, donc rien n'atteint le routage, la politique ou l'application.

Utilisez les erreurs et compteurs documentés de l'implémentation pour ces conditions au lieu de traiter chaque échec de réception comme un refus de liste d'accès. Désactiver l'intégrité ou la protection contre le rejeu pour faire apparaître du trafic ne prouve pas que le paquet entrant était légitime ; cela supprime le contrôle qui disait la vérité.

Le port UDP 4500 est un conteneur, pas un verdict

La traversée NAT transporte ESP à l'intérieur d'UDP, et le même port transporte aussi les messages IKE et de maintien de connexion. L'activité sur 4500 indique donc que quelque chose utilise le port, pas que l'application a produit un paquet ESP. Classez la charge utile avant de l'attribuer au trafic de données.

Cela compte lorsque la capture est la seule preuve disponible. Un message de maintien de connexion arrivant à l'heure peut faire paraître vivant un tunnel mort, et un message IKE peut faire paraître une capture plus chargée que ne l'est réellement le chemin de données.

Ce n'est qu'après l'extraction que le routage et la politique s'appliquent

Lorsque le déchiffrement réussit, le paquet intérieur récupéré entre dans le chemin normal : contrôles de politique, routage, règles de transfert et hôte de destination. Un paquet peut passer tous les contrôles de sécurité et être tout de même rejeté ici, et le chemin de réponse doit également exister. Cet échec relève du transfert, pas d'ESP.

Gardez les compteurs liés à leur étape documentée. La réception sur l'interface, l'ESP accepté, les octets déchiffrés et les paquets intérieurs transférés n'ont pas besoin d'être le même nombre, surtout lorsqu'un chemin accéléré gère le plan de données et que le plan de contrôle rend compte séparément. Une étiquette générique de tableau de bord ne prouve pas que deux compteurs signifient la même chose.

Pour une nouvelle opération autorisée, conservez la dernière limite confirmée et la première erreur pertinente. Cette paire indique au prochain administrateur s'il doit enquêter sur la livraison du transport, l'association et l'intégrité, ou le transfert intérieur ordinaire, et elle évite la correction habituelle consistant à rendre chaque règle permissive pour faire bouger un nombre.