Chegou ESP pero non se descifrou nada? Siga as etapas de entrada

Cando o contador de cifrado dun cortalumes sobe mentres o túnel non entrega nada, o instinto é ampliar unha regra de acceso. Ese instinto salta a propia secuencia de comprobacións do receptor. Un paquete ESP entrante pasa por varias etapas, e cada unha pode rematar a vida do paquete por un motivo distinto: ningunha asociación coincidente, un fallo de repetición ou de integridade, ou un paquete interior correcto pero non permitido máis adiante. Nomear a etapa que fallou converte unha afirmación vaga de que IPsec está roto nun contador concreto e nunha corrección concreta.

A chegada é unha observación, non tres

Unha captura externa que mostre que ESP chega á pasarela só demostra que chegou o paquete exterior. A aceptación significa que o receptor atopou a asociación e validou o paquete. A entrega significa que o paquete interior recuperado se encamiñou ao seu destino e se respondeu. Son resultados separados, e un panel que os fusiona oculta xusto a información que necesita.

A mesma distinción explica un informe habitual: o contador de cifrado dun extremo sobe mentres o outro non informa de ningún tráfico descifrado útil. Ambas afirmacións poden ser certas á vez, porque describen etapas distintas do mesmo intento.

A procura da asociación ocorre antes do descifrado

O receptor reensambla os fragmentos se fai falta e despois atopa a asociación de seguridade do paquete. En unicast ordinario escóllena o SPI e o destino. Sen unha asociación válida non hai máis procesamento, por iso un SPI obsoleto ou desaxustado produce silencio en lugar dun erro visible para a aplicación.

As asociacións son direccionais e poden cambiar durante unha renovación de claves, así que anote o extremo receptor, o SPI e a marca de tempo xunto á asociación de entrada que considere actual. Unha asociación de saída mostrada, ou unha relación IKE sa, non substitúe a que debería recibir este paquete.

As comprobacións de repetición e integridade rexeitan antes de que exista unha carga útil

Unha vez atopada a asociación, o receptor aplica os algoritmos que esta especifica. Se a protección contra repetición está activada, rexéitase un número de secuencia fóra da xanela. Un fallo da comprobación de integridade tamén remata o procesamento, porque o ICV non coincide co paquete tal como se recibiu. Ningún dos dous casos produce un paquete interior descifrado, así que nada chega ao encamiñamento, á política nin á aplicación.

Use os erros e contadores documentados da implementación para estas condicións en lugar de tratar cada fallo de recepción como unha denegación da lista de acceso. Desactivar a integridade ou a protección contra repetición para que apareza tráfico non demostra que o paquete entrante fose lexítimo; elimina a comprobación que dicía a verdade.

O porto UDP 4500 é un contedor, non un veredicto

O paso por NAT leva ESP dentro de UDP, e o mesmo porto tamén leva mensaxes IKE e de mantemento. Por tanto, a actividade no 4500 di que algo usa o porto, non que a aplicación producise un paquete ESP. Clasifique a carga antes de atribuíla ao tráfico de datos.

Isto importa cando a captura é a única proba dispoñible. Unha mensaxe de mantemento que chega puntual pode facer que un túnel morto pareza vivo, e unha mensaxe IKE pode facer que unha captura pareza máis ocupada do que é realmente o camiño de datos.

Só despois da extracción se aplican o encamiñamento e a política

Cando o descifrado ten éxito, o paquete interior recuperado entra no camiño normal: comprobacións de política, encamiñamento, regras de reenvío e o host de destino. Un paquete pode pasar todas as comprobacións de seguridade e aínda así ser descartado aquí, e o camiño de resposta tamén debe existir. Ese fallo pertence ao reenvío, non a ESP.

Manteña os contadores ligados á súa etapa documentada. A recepción na interface, o ESP aceptado, os bytes descifrados e os paquetes interiores reenviados non teñen por que ser o mesmo número, sobre todo cando un camiño acelerado xestiona o plano de datos e o plano de control informa por separado. Unha etiqueta xenérica do panel non é proba de que dous contadores signifiquen o mesmo.

Para unha operación autorizada nova, conserve o último límite confirmado e o primeiro erro relevante. Ese par di ao seguinte administrador se debe investigar a entrega do transporte, a asociación e a integridade, ou o reenvío interior ordinario, e evita a corrección habitual de facer permisiva cada regra para mover un número.