ESP આવ્યું પણ કંઈ ડિક્રિપ્ટ થયું નહીં? ઇનબાઉન્ડ તબક્કા અનુસરો

જ્યારે ફાયરવોલનું એન્ક્રિપ્શન કાઉન્ટર વધે છે અને ટનલ કંઈ પણ પહોંચાડતી નથી, ત્યારે એક્સેસ નિયમ પહોળો કરવાની વૃત્તિ થાય છે. એ વૃત્તિ રિસીવરની પોતાની ચકાસણી ક્રમને છોડી દે છે. ઇનબાઉન્ડ ESP પેકેટ ઘણા તબક્કામાંથી પસાર થાય છે, અને દરેક તબક્કો અલગ કારણથી પેકેટનું જીવન પૂરું કરી શકે છે: મેળ ખાતું એસોસિએશન નથી, રિપ્લે કે ઇન્ટિગ્રિટી નિષ્ફળતા, અથવા અંદરનું પેકેટ ઠીક છે પણ આગળ જવાની પરવાનગી નથી. નિષ્ફળ ગયેલા તબક્કાને નામ આપવાથી IPsec બગડેલું છે એવું અસ્પષ્ટ વિધાન ચોક્કસ કાઉન્ટર અને ચોક્કસ સુધારામાં બદલાય છે.

આગમન એ એક નિરીક્ષણ છે, ત્રણ નહીં

બહારનું કેપ્ચર જે દર્શાવે છે કે ESP ગેટવે સુધી પહોંચે છે તે ફક્ત બહારનું પેકેટ આવ્યું છે તે સાબિત કરે છે. સ્વીકાર એટલે રિસીવરને એસોસિએશન મળ્યું અને પેકેટની ચકાસણી કરી. ડિલિવરી એટલે પુનઃપ્રાપ્ત અંદરનું પેકેટ તેના ગંતવ્ય સુધી રૂટ થયું અને તેનો જવાબ મળ્યો. આ અલગ પરિણામો છે, અને જે ડેશબોર્ડ તેમને ભેગા કરે છે તે તમને જરૂરી માહિતી જ છુપાવે છે.

એ જ ભેદ એક સામાન્ય અહેવાલ સમજાવે છે: એક બાજુનું એન્ક્રિપ્શન કાઉન્ટર વધે છે જ્યારે બીજી બાજુ કોઈ ઉપયોગી ડિક્રિપ્ટ થયેલ ટ્રાફિક જણાવતું નથી. બંને વિધાનો એકસાથે સાચાં હોઈ શકે, કારણ કે તે એક જ પ્રયાસના અલગ તબક્કા વર્ણવે છે.

એસોસિએશનની શોધ ડિક્રિપ્શન પહેલાં થાય છે

રિસીવર જરૂર પડે તો ફ્રેગમેન્ટ ફરી જોડે છે, પછી પેકેટ માટે સુરક્ષા એસોસિએશન શોધે છે. સામાન્ય યુનિકાસ્ટમાં SPI અને ગંતવ્ય તેને પસંદ કરે છે. માન્ય એસોસિએશન ન હોય તો વધુ પ્રક્રિયા થતી નથી, તેથી જૂનું કે મેળ ન ખાતું SPI એપ્લિકેશનને દેખાતી ભૂલને બદલે મૌન ઉત્પન્ન કરે છે.

એસોસિએશન દિશાનું હોય છે અને કી નવીકરણ દરમિયાન બદલાઈ શકે છે, તેથી તમે વર્તમાન માનો છો તે ઇનબાઉન્ડ એસોસિએશનની બાજુમાં રિસીવિંગ પિયર, SPI અને સમયછાપ નોંધો. દર્શાવેલ આઉટબાઉન્ડ એસોસિએશન કે તંદુરસ્ત IKE સંબંધ એ પેકેટ મેળવવાનું હોય તે એસોસિએશનનો વિકલ્પ નથી.

રિપ્લે અને ઇન્ટિગ્રિટી ચકાસણી પેલોડ બનતાં પહેલાં જ રદ કરે છે

એસોસિએશન મળ્યા પછી રિસીવર તે એસોસિએશન દ્વારા નિર્દિષ્ટ અલ્ગોરિધમ લાગુ કરે છે. જો એન્ટી-રિપ્લે ચાલુ હોય, તો વિન્ડો બહારનો ક્રમ નંબર રદ થાય છે. ઇન્ટિગ્રિટી ચકાસણી નિષ્ફળ થવાથી પણ પ્રક્રિયા પૂરી થાય છે, કારણ કે ICV પ્રાપ્ત થયેલા પેકેટ સાથે મેળ ખાતું નથી. કોઈ પણ કિસ્સામાં ડિક્રિપ્ટ થયેલું અંદરનું પેકેટ બનતું નથી, તેથી કંઈ રૂટિંગ, નીતિ કે એપ્લિકેશન સુધી પહોંચતું નથી.

આ સ્થિતિઓ માટે અમલીકરણની દસ્તાવેજીકૃત ભૂલો અને કાઉન્ટર વાપરો, દરેક પ્રાપ્તિ નિષ્ફળતાને એક્સેસ-લિસ્ટ નકાર તરીકે ગણવાને બદલે. ટ્રાફિક દેખાય તે માટે ઇન્ટિગ્રિટી કે રિપ્લે સુરક્ષા બંધ કરવી એ સાબિત કરતી નથી કે આવતું પેકેટ કાયદેસર હતું; તે સત્ય કહેતી ચકાસણી દૂર કરે છે.

UDP પોર્ટ 4500 એ કન્ટેનર છે, ચુકાદો નહીં

NAT ટ્રાવર્સલ ESP ને UDP ની અંદર લઈ જાય છે, અને એ જ પોર્ટ IKE તથા કીપઅલાઇવ સંદેશા પણ લઈ જાય છે. તેથી 4500 પરની પ્રવૃત્તિ કહે છે કે કંઈક પોર્ટ વાપરી રહ્યું છે, એ નહીં કે એપ્લિકેશને ESP પેકેટ બનાવ્યું છે. ડેટા ટ્રાફિકને આભારી ગણતાં પહેલાં પેલોડનું વર્ગીકરણ કરો.

જ્યારે કેપ્ચર જ એકમાત્ર પુરાવો હોય ત્યારે આ મહત્ત્વનું છે. સમયસર આવતો કીપઅલાઇવ સંદેશ મૃત ટનલને જીવંત દેખાડી શકે છે, અને IKE સંદેશ કેપ્ચરને ડેટા માર્ગ કરતાં વધુ વ્યસ્ત દેખાડી શકે છે.

બહાર કાઢ્યા પછી જ રૂટિંગ અને નીતિ લાગુ પડે છે

જ્યારે ડિક્રિપ્શન સફળ થાય, ત્યારે પુનઃપ્રાપ્ત અંદરનું પેકેટ સામાન્ય માર્ગમાં પ્રવેશે છે: નીતિ ચકાસણી, રૂટિંગ, ફોરવર્ડિંગ નિયમો અને ગંતવ્ય હોસ્ટ. પેકેટ બધી સુરક્ષા ચકાસણી પસાર કરીને પણ અહીં છોડી શકાય છે, અને જવાબનો માર્ગ પણ હોવો જોઈએ. એ નિષ્ફળતા ફોરવર્ડિંગની છે, ESPની નહીં.

કાઉન્ટરને તેમના દસ્તાવેજીકૃત તબક્કા સાથે જોડેલા રાખો. ઇન્ટરફેસ પ્રાપ્તિ, સ્વીકૃત ESP, ડિક્રિપ્ટ થયેલા બાઇટ અને ફોરવર્ડ કરેલા અંદરના પેકેટ સમાન સંખ્યા હોવા જરૂરી નથી, ખાસ કરીને જ્યારે ઝડપી માર્ગ ડેટા પ્લેન સંભાળે અને કંટ્રોલ પ્લેન અલગ જાણ કરે. સામાન્ય ડેશબોર્ડ લેબલ એ સાબિતી નથી કે બે કાઉન્ટર એક જ વસ્તુ દર્શાવે છે.

એક નવી અધિકૃત કામગીરી માટે, છેલ્લી પુષ્ટિ થયેલી સીમા અને પ્રથમ સંબંધિત ભૂલ રાખો. એ જોડી આગલા પ્રશાસકને કહે છે કે પરિવહન ડિલિવરી, એસોસિએશન અને ઇન્ટિગ્રિટી, કે સામાન્ય અંદરનું ફોરવર્ડિંગ તપાસવું, અને સંખ્યા ખસેડવા માટે દરેક નિયમને છૂટછાટ આપવાના સામાન્ય સુધારાને ટાળે છે.