Hoefolle kontrôlesommen hat in VPN-pakket? It hinget derfan ôf

De bewearing dat in VPN-pakket krekt twa kontrôlesommen draacht klinkt noflik en is faak genôch ferkeard om útinoar te heljen. It oantal hinge ôf fan hokker IP-ferzjes foarkomme, hokker transportprotokol ferfierd wurdt en hokker beskermingsformaat de tunnel brûkt. In kopkontrôlesom, in kontrôlesom fan 'e hegere laach en in kryptografysk yntegriteitslabel binne trije meganismen mei trije berikken. Se telle begjint mei it markearjen fan wat elk fan harren dekt.

Kontrolearje hokker IP-ferzjes der eins op 'e tried binne

IPv4-koppen drage in 16-bit kopkontrôlesom, en IPv6-koppen drage neat fan dat soarte. Dat iene feit feroaret it oantal foar elke tunnel, want IPv4 yn IPv6 ynpakke en IPv6 yn IPv4 ynpakke leverje ferskate dokuminten op. In tunnel kin beide famyljes tagelyk drage, en dan kin de iene rjochting in fjild befetsje dat de oare net hat. Stel de ferzjes fêst foardat jo wat dan ek telle.

Skriuw de yndieling as in list fan koppen ynstee fan in byld. De folchoarder is wichtich by it lêzen fan in opname, en it wol of net oanwêzich wêzen fan it kontrôlesomfjild is it earste dat markearre wurde moat.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

De earste rigel hat nearne yn syn IP-koppen in IP-kopkontrôlesom, wylst de twadde twa hat as beide koppen IPv4 binne. Deselde tunneltechnyk, in oar oantal, en gjin fan 'e rigels is in folslein triedformaat.

Kontrolearje wat elke kontrôlesom dekt

De dekking is it diel dat minsken oerslaan, en dat is wat in oantal betsjuttingsfol makket. De IPv4-kopkontrôlesom beskermet de kop en neat oars, dus seit neat oer de lading der efter. In UDP-kontrôlesom oer IPv6 dekt in pseudo-kop plus de UDP-kop en lading, wat betsjut dat it yn it ferfierde pakket reikt as it datagram tunnelisearre is. TCP hat syn eigen kontrôlesom mei in ferlykbere ôfhinklikens fan 'e pseudo-kop. Dat binne trije ferskate berikken ek al wurde alle trije kontrôlesommen neamd.

RFC 791 definiearret de IPv4-kopkontrôle en de werberekkening dêrfan by elke hop, en RFC 8200 definiearret de behanneling fan 'e hegere laach oer IPv6, ynklusyf de pseudo-kop. Gjin fan beide dokuminten seit dat in VPN-pakket in fêst oantal kontrôlesommen hat, want gjin fan beide beskriuwt in tunnel.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Kontrolearje de yntegriteitsbeskerming apart

ESP-yntegriteit is kryptografyske beskerming mei syn eigen dekking en in algoritme-ôfhinklike foarstelling. It is gjin IP- of UDP-kontrôlesom ûnder in oare namme, en syn lingte feroaret mei de keazen konstruksje. In yntegriteitskontrôle dekt in bepaald part fan it pakket, dat ôfhinklik fan 'e modus de ESP-kop en in part fan 'e lading omfetsje kin. It telle as in kontrôlesomfjild fan bekende breedte is wêr't de measte fan dizze ferklearrings útinoar falle.

Lês de keazen konstruksje foardat jo bytes telle, en beskriuw it resultaat as yntegriteitsbeskerming ynstee fan as in kontrôlesom mei in oar label. De dekodearder sil it fjild foar jo beneame as jo it freegje.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Kontrolearje it observaasjepunt foardat jo telle

In opname op 'e ynterne interface en in opname op 'e tried kinne folslein ferskate lagen sjen litte. Op 'e ynterne interface is de tunnel al fuorthelle, dus jo sjogge it ferfierde pakket en gjin fan 'e bûtenste koppen. Op 'e tried sjogge jo de bûtenste koppen en in fersifere lading dy't jo net lêze kinne. Gjin fan beide bylden is ferkeard, en it binne gjin bylden fan itselde objekt. Neam wêr't de opname makke is foardat jo hokker oantal dan ek sitearje.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

It earste kommando lit it bûtenste pakket sjen mei syn yntegriteitstrailer, en it twadde lit it ferfierde pakket sjen mei syn eigen transportkontrôlesom. Sifers fan beide opnames optelle telt neat dûbel, mar ferklearret itselde pakket twa kear.

Hâld it oantal tsjin in echte opname

Dekodearje ien pakket folslein en markearje elk fjild dat de dekodearder in kontrôlesom of in yntegriteitswearde neamt. Fergelykje dêrnei elke markearring mei de yndieling dy't jo skreau, en wiskje dyjingen dy't ta in laach hearre dy't jo net echt telle. In oantal dat dy oefening oerlibbet is te ferdigenjen, en in oantal dat út 't ûnthâld sitearre wurdt net.

Werhelje it foar de antwurd-rjochting, want in tunnel dy't beide famyljes draacht kin per rjochting en per stream ferskille. Neam dan it oantal tegearre mei syn berik, bygelyks trije kontrôlesommen foar dit ynterne pakket op dit observaasjepunt, ynstee fan as eigenskip fan VPN-pakketten yn 't algemien.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum