ESP is oankommen mar neat is ûntsifere? Folgje de yngeande stadia

As de fersiferingsteller fan in firewall omheech giet wylst de tunnel neat leveret, is de ympuls om in tagongsregel te ferbreedzjen. Dy ympuls slacht de eigen folchoarder fan kontrôles fan de ûntfanger oer. In yngeand ESP-pakket giet troch ferskate stadia, en elk kin it libben fan it pakket om in oare reden einigje: gjin byhearrende assosjaasje, in flater by werhelling of yntegriteit, of in binnepakket dat goed is mar net fierder tastien. It stadium neame dat mislearre is, makket in ûndúdlike bewearing dat IPsec stikken is ta in konkrete teller en in konkrete repaasje.

Oankomst is ien waarnimming, net trije

In bûtenopname dy't sjen lit dat ESP de gateway berikt, bewiist allinnich dat it bûtenpakket oankommen is. Akseptaasje betsjut dat de ûntfanger de assosjaasje fûn en it pakket falidearre hat. Levering betsjut dat it weromfûne binnepakket nei syn bestimming rûte waard en beäntwurde. Dat binne aparte resultaten, en in dashboard dat se gearfoeget ferberget krekt de ynformaasje dy't jo nedich hawwe.

Deselde ûnderskied ferklearret in faak foarkommend rapport: de fersiferingsteller fan de iene kant giet omheech wylst de oare gjin nuttige ûntsifere ferkear rapportearret. Beide bewearings kinne tagelyk wier wêze, want se beskriuwe ferskate stadia fan deselde poging.

It sykjen fan de assosjaasje bart foar it ûntsiferjen

De ûntfanger set fragminten byinoar as dat nedich is en fynt dan de feilichheidsassosjaasje foar it pakket. By gewoane unicast kieze it SPI en de bestimming dy. Sûnder jildige assosjaasje bart gjin fierdere ferwurking, dêrom jout in ferâldere of net oerienkommend SPI stilte ynstee fan in flater dy't de applikaasje sjocht.

Assosjaasjes binne rjochte en kinne feroarje by in kaaifernijing, dus notearje de ûntfangende kant, it SPI en de tiidstimpel njonken de yngeande assosjaasje dy't jo aktueel achtsje. In toande útgeande assosjaasje, of in sûne IKE-relaasje, ferfangt net dyjinge dy't dit pakket ûntfange moatte soe.

Kontrôles op werhelling en yntegriteit wegerje foardat der in lading is

Sadree't in assosjaasje fûn is, past de ûntfanger de algoritmen ta dy't dy assosjaasje oanwiist. As beskerming tsjin werhelling oan stiet, wurdt in folchnûmer bûten it finster wegere. In mislearre yntegriteitskontrôle einiget de ferwurking ek, want it ICV komt net oerien mei it pakket sa't it ûntfongen is. Gjin fan beide gefallen leveret in ûntsifere binnepakket, dus neat berikt rûtering, belied of de applikaasje.

Brûk de dokumintearre flaters en tellers fan de ymplemintaasje foar dizze tastannen ynstee fan elke ûntfangstflater as in wegering fan de tagongslist te behanneljen. Yntegriteit of beskerming tsjin werhelling útsette om ferkear ferskine te litten bewiist net dat it yngeande pakket legitim wie; it hellet de kontrôle fuort dy't de wierheid fertelde.

UDP-poarte 4500 is in kontener, net in feroardieling

NAT-trochgong draacht ESP binnen UDP, en deselde poarte draacht ek IKE- en keepalive-berjochten. Aktiviteit op 4500 seit dus dat eat de poarte brûkt, net dat de applikaasje in ESP-pakket makke hat. Klassifisearje de lading foardat jo it oan dataferkear taskriuwe.

Dat docht ta as de opname it iennichste beskikbere bewiis is. In keepalive-berjocht dat op tiid komt kin in deade tunnel libjend lykje litte, en in IKE-berjocht kin in opname drokker lykje litte as it datapad echt is.

Pas nei de ekstraksje jilde rûtering en belied

As it ûntsiferjen slagget, giet it weromfûne binnepakket it normale paad yn: beliedskontrôles, rûtering, troerstjoeringsregels en de bestimmingshost. In pakket kin alle feilichheidskontrôles trochstean en hjir dochs weilitten wurde, en it antwurdpaad moat ek bestean. Dy flater heart by troerstjoering, net by ESP.

Hâld tellers bûn oan har dokumintearre stadium. Untfangst op de interface, akseptearre ESP, ûntsifere bytes en troerstjoerde binnepakketten hoege net itselde nûmer te wêzen, benammen as in fersnelde paad it dataflak docht en it kontrôleflak apart rapportearret. In algemien dashboardlabel is gjin bewiis dat twa tellers itselde betsjutte.

Foar ien nije autorisearre operaasje, hâld de lêste befêstige grins en de earste relevante flater fêst. Dat pear fertelt de folgjende behearder wat te ûndersykjen: transportleverings, assosjaasje en yntegriteit, of gewoane binnenste troerstjoering, en it foarkomt de gewoane repaasje om elke regel tastien te meitsjen om in nûmer te ferpleatsen.