Ní chiallaíonn ESP amach gan freagra go bhfuil an VPN marbh
Cosnaíonn ESP treo amháin in aghaidh an chomhcheangail agus ní admhaíonn sé rud ar bith. Ailínigh an comhrá inmheánach agus an SA isteach sula nglaonn tú an freastalaí neamhfhreagrach.
Ghabh tú trácht ar an óstach IPsec, chonaic tú pacáistí ESP ag imeacht, ní fhaca tú aon rud ag teacht ar ais agus tháinig tú ar an gconclúid go bhfuil an taobh thall briste. Ní thacaíonn an ghabháil leis an gconclúid sin. Cosnaíonn ESP treo amháin de chomhrá agus ní admhaíonn sé rud ar bith ag an leibhéal IP, mar sin is féidir le ESP fillte a bheith in easnamh a chiallaíonn nach raibh aon rud le rá ag an bhfeidhmchlár, chomh furasta agus a chiallaíonn sé go bhfuil an tollán marbh. Léigh an malartú inmheánach agus staid an taoibh ghlacadóra sula gcuirfidh tú an milleán ar cheachtar cheann de na foircinn.
An miotas: tugann gach pacáiste cosanta freagra dó féin
Ní prótacal iarratais-fhreagra é ESP. Criptíonn sé agus fíoraíonn sé cibé rud a roghnaíonn an polasaí, agus déanann an glacadóir an pacáiste inmheánach sin a bhailíochtú, a dhíchriptiú agus a sheachadadh gan pacáiste dá chuid féin a ghiniúint. Táirgeann ceist UDP a ndéanann an ceann scríbe neamhaird uirthi, nó macalla ICMP a chaithfidh an polasaí isteach, tost sa dá threo mar an toradh ceart. Má dhéileáiltear leis an tost sin mar mhainneachtain iompair, cuirtear ar thóir locht líonra thú nach raibh ann riamh.
Is é an rud a chruthaíonn gabháil aontreoch i ndáiríre ná gur chriptigh stac an tseoltóra rud éigin ag an bpointe breathnaithe sin. Ní dhéanann sé sin aon rud faoin teacht, agus aon rud faoin rún freagra a thabhairt. Ní hé "cén fáth nach bhfuil freagra ann" an cheist úsáideach, ach "cad ba cheart don chomhrá inmheánach a tháirgeadh".
Dhá SA, dhá SPI, comhrá amháin
Tá comhcheangail slándála IPsec aontreoch, mar sin bíonn comhcheangal isteach agus comhcheangal amach i ngnáthmhalartú cosanta, le haitheantóirí ar leith agus staid neamhspleách. Is earráid chatagóire é mar sin dul sa tóir ar an trácht fillte de réir SPI an phacáiste amach, toisc go dtaistealaíonn aon fhreagra faoi SA amach an pháirtí féin lena SPI féin. Meaitseáil an péire de réir roghnóirí tráchta agus seoltaí an pháirtí ina ionad.
Cuireann athrú eochracha castacht leis an bpictiúr ar feadh cúpla soicind, ós rud é gur féidir leis an staid shean agus an staid athsholáthair forluí. Má thosaigh an tsiomptóm timpeall ar athrú eochracha, bailigh aitheantóirí comhcheangail agus stampaí ama le chéile seachas ainm an naisc amháin.
Cad a chaithfidh an glacadóir a dhéanamh sula bhfreagraíonn aon rud
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Teipeann gach ró go neamhspleách agus tá úinéir difriúil ag gach teip, agus sin an fáth nach féidir le gabháil amháin iad a idirdhealú. Is é an cuntar isteach an t-aon fhianaise dhíreach ar theacht, toisc go gcaithtear pacáiste a theipeann ar a fhíordheimhniú nó ar a sheiceáil athsheinm gan aon fhreagra. Mar sin ní chuireann páirtí nach bhfuil a chuntar isteach bogtha aon eolas chugat faoina pholasaí ar chor ar bith.
Céim ar leith ó dhíchriptiú is ea an seachadadh. Is féidir leis an staid a bheith bailí agus an pacáiste a chaitheamh ina dhiaidh sin ag polasaí isteach nó ag bealach nach n-áiríonn an ceann scríbe inmheánach, mar sin seiceáil ar chonaic an t-óstach sprice gnáth-théacs seachas glacadh leis go gciallaíonn cuntar glan go ndeachaigh an pacáiste mar a bhí uait.
Ní UDP é ESP dúchasach
Is é ESP dúchasach prótacal IP 50, nach TCP ná UDP é agus nach bhfuil aon phort ann ar chor ar bith. Mar sin ní deir riail balla dóiteáin a cheadaíonn IKE ar UDP 500 aon rud faoin gcosán sonraí, agus is féidir le scagaire a scríobhtar timpeall ar phortaibh ligean do thollán idirbheartaíocht a dhéanamh agus ansin gach rud a iompraítear istigh ann a chaitheamh. Tástáil an cosán sonraí leis féin, sa mhód a bhreathnaigh tú i ndáiríre.
Taobh thiar de NAT athraíonn an chuma: taistealaíonn an t-ualach cosanta istigh i UDP, de ghnáth ar phort 4500, mar a shainíonn RFC 3948. Taifead an mód gníomhach sula scríobhann tú aon riail, toisc gur féidir le feiste ar an gcosán ESP dúchasach agus ESP i bhfilleadh UDP a láimhseáil go hiomlán difriúil, agus ceadaíonn roinnt meánbhoscaí ceann amháin agus caitheann siad an ceann eile.
Léigh cuntair a bhaineann leis an eachtra seo
Ar óstach strongSwan, tuairiscíonn swanctl --list-sas cuntair pacáistí agus beart in aghaidh an chomhcheangail sa dá threo, rud atá leordhóthanach chun "riamh níor tháinig" a scaradh ó "tháinig agus níor freagraíodh". Ar Linux, comhaireamhann /proc/net/xfrm_stat teipeanna comhiomlánaithe amhail staid ar iarraidh, polasaí ar iarraidh agus earráidí prótacail. Carnann na hiomláin sin ón mbútáil agus baineann siad le haon spás ainmneacha líonra amháin, mar sin ní sannadh é uimhir mhór.
Tóg dhá léamh timpeall ar fhuinneog na heachtra sa spás ainmneacha ceart agus déan comparáid idir na difríochtaí, nó greamaigh tú earráidí na seachtaine seo caite ar thicéad an tráthnóna seo. Cuir an spás ainmneacha agus an dá stampa ama sa ticéad ionas gur féidir leis an gcéad léitheoir eile an chomparáid a atáirgeadh seachas muinín a chur in iomlán.
Ainmnigh an chéim, ní an t-amhrastach
Deir conclúid úsáideach cá stop an pacáiste: riamh níor glacadh é, glacadh é agus caitheadh é, seachadadh é ach níor freagraíodh é, nó freagraíodh é agus cailleadh é ar an mbealach ar ais. Cuireann gach ceann acu sin in iúl úinéir difriúil agus an chéad ordú eile difriúil. Déanann "níl aon fhreagra ó fhreastalaí VPN" ceithre locht ar leith a bhrú isteach in aon abairt amháin nár thug an ghabháil údar riamh di.
Coinnigh gabhálacha cúng, agus coinnigh staid amh an eithne amach as ticéid, toisc go bhféadfadh sí ábhar eochracha a iompar nach bhfuil gnó ar bith aige dul amach as an óstach. Is iad difríochtaí na gcuntar agus na stampaí ama na codanna ar fiú iad a thabhairt don chéad duine eile.