ESP ûntsifere goed en it ynderlike pakket giet dochs nearne hinne

De ESP-ûntfongteller klimt, de tunnel bliuwt oan, en de applikaasje sjocht it pakket nea. De ûntsifering rûn, de yntegriteitskontrôle slagge, en doe moast de ûntfanger beslute wat de beskerme lading eins is. Krekt yn dy lêste stap ûntstiet in formaatôfwiking, en fan bûten liket dat hielendal net op in firewallprobleem.

Wat jo sjogge as it label liicht

Neat yn it kliïntloch ûnderskiedt dit fan in swart gat yn de rûting. Beide jouwe in applikaasje-timeout njonken in sûne tunnel, dêrom krije de tellers earst de skuld.

In klimmende ûntfongteller is wier goed nijs: pakketten komme oan en wurde ferifiearre. It is gjin bewiis dat it ynderlike pakket sin hie foar eat boppe de kryptolaach.

It type wennet yn de trailer

Yn de gewoane IPsec-tunnelmodus befettet de troch ESP beskerme lading in folslein ynderlik IP-pakket. It fjild folgjende kop yn de trailer bepaalt wat dy lading is, en it is gjin TCP-poarte, gjin protokolnûmer yn de bûtenste kop, en gjin part fan it begjin-SPI- en sekwinsjenûmerfjild. RFC 4303 seksje 2.6 definiearret it as it fjild foar ladingstype, wat in krekte namme is foar in krekte taak.

De wearden dy jo tsjinkomme binne lyts en wurdich om te ûnthâlden: IPv4 is 4 (0x04) en IPv6 is 41 (0x29).

Dy nûmers komme út de protokolnûmertawizingen fan IANA en net út pleatslike konvinsje. In stjoerder dy IPv4 ferklearret wylst er in IPv6-pakket ynslet, hat in formaatynkonsistinsje makke, en gjin firewallregel reparearret bytes dy har eigen label tsjinsprekke.

Hoe jo it fan de gewoane fertochten ûnderskiede

De measte fermiste pakketten binne gjin kodearringsflaters. Kontrolearje earst de selektors, want in ferkiersselektor dy it IPv6-prefiks útslút, smyt ferkear fuort foar eat ynsletten wurdt. Kontrolearje dan rûting, en dêrnei pleatslike filterjen op de ûntfangende host. Pas nei dy útsletten binne, wurdt in formaatôfwiking fan de lading in leauwensweardige ferklearring.

In fersifere opname sil dit net besljochtsje, want de beskerme folgjende kop sit binnen de fersifere lading. Jo hawwe ymplemintaasjediagnostyk of in stipe ûntsifere observaasjepunt nedich, en beide freegje foarôf tastimming.

As nimmen dat bewiis leverje kin, hawwe jo gjin formaatflater. Jo hawwe in teory, en de selektors bliuwe de bettere ynset.

Wat de reparaasje net is

Skeakelje gjin yntegriteitskontrôles út om ferkear troch te litten. Skriuw fersifere pakketten net oer op in tuskenrouter, want dat kin net wurkje en sil de stream skansearje wylst it yn in opname handich liket. Iepenje gjin bredere applikaasje-firewallregel op de teory dat in poarte blokkearre wurdt. Net ien fan dy rekket de labelôfwiking oan.

As in befêstige ôfwiking fan in peer-ymplemintaasje komt, hâld dan in minimale suvere reproduksje en bring dy nei it stipe kanaal fan dy ymplemintaasje.

Ferifiearje de stream, net de teller

Test nei de korreksje de werklike IPv6-stream fan begjin oant ein: in applikaasje-oanfraach troch de tunnel, it antwurd dêrop, en it adrespant dat elke kant waarnimt. In klimmende ESP-teller bewiist allinnich dat pakketten ûntfongen en ferifiearre wurde. Hy seit neat oer oft it ynderlike pakket brûkber wie.

Skriuw beide resultaten yn it ticket. Tellerbeweging plus in wurkjende stream is in reparaasje; tellerbeweging allinnich is krekt wat jo hiene foar jy begûnen.