ESP מפענח כשורה והחבילה הפנימית עדיין לא מגיעה לשום מקום

מונה הקליטה של ESP עולה, המנהרה נשארת למעלה, והיישום אינו רואה את החבילה לעולם. הפענוח רץ, בדיקת השלמות עברה, ואז היה על המקלט להחליט מהו בעצם המטען המוגן. בדיוק בשלב האחרון הזה מופיעה אי-התאמה בפורמט, ומבחוץ זה לא דומה כלל לבעיית חומת אש.

מה רואים כשהתווית משקרת

שום דבר ביומן הלקוח לא מבדיל את זה מחור שחור בניתוב. שניהם יוצרים פסק זמן של היישום לצד מנהרה בריאה, ולכן המונים הם הראשונים לקבל את האשמה.

מונה קליטה שעולה הוא באמת חדשות טובות: חבילות מגיעות ומאומתות. זו אינה הוכחה שהחבילה הפנימית הייתה הגיונית למשהו מעל שכבת ההצפנה.

הסוג חי ב-trailer

במצב מנהרה רגיל של IPsec, המטען המוגן ב-ESP מכיל חבילת IP פנימית שלמה. שדה הכותרת הבאה ב-trailer מגדיר מהו המטען הזה, והוא אינו פורט TCP, אינו מספר פרוטוקול בכותרת החיצונית, ואינו חלק משדה ה-SPI ומספר הרצף ההתחלתי. RFC 4303 סעיף 2.6 מגדיר אותו כשדה סוג המטען, וזה שם מדויק לתפקיד מדויק.

הערכים שתפגשו קטנים וכדאי לזכור אותם: IPv4 הוא 4 (0x04) ו-IPv6 הוא 41 (0x29).

המספרים האלה מגיעים מהקצאות מספרי הפרוטוקול של IANA ולא ממוסכמה מקומית. שולח שמצהיר IPv4 ובמקביל עוטף חבילת IPv6 יצר אי-עקביות בפורמט, ושום כלל חומת אש אינו מתקן בתים שסותרים את התווית של עצמם.

איך להבדיל אותו מהחשודים הרגילים

רוב החבילות החסרות אינן פגמי קידוד. בדקו קודם את הבוררים, מפני שבורר תעבורה שמחריג את קידומת IPv6 משליך תעבורה לפני שדבר כלשהו נעטף. לאחר מכן בדקו ניתוב, ואחר כך סינון מקומי במארח המקלט. רק אחרי שאלה נשללו, אי-התאמת פורמט של מטען הופכת להסבר סביר.

לכידה מוצפנת לא תכריע, מפני שהכותרת הבאה המוגנת נמצאת בתוך המטען המוצפן. דרושים לכם אבחון של המימוש או נקודת תצפית מפוענחת נתמכת, ושניהם דורשים הרשאה לפני שימוש.

אם איש אינו יכול להביא את הראיה הזו, אין לכם באג פורמט. יש לכם תאוריה, והבוררים נשארים ההימור הטוב יותר.

מה התיקון אינו

אל תכבו בדיקות שלמות כדי לתעבורה לעבור. אל תשכתבו חבילות מוצפנות בנתב ביניים, מפני שזה לא יכול לעבוד וישבש את הזרימה בזמן שזה נראה מועיל בלכידה. אל תפתחו כלל חומת אש רחב יותר ליישום מתוך תאוריה שפורט חסום. אף אחד מאלה לא נוגע באי-התאמת התווית.

אם אי-התאמה מאומתת מגיעה ממימוש עמית, שמרו שחזור מינימלי ומחוטא והביאו אותו לערוץ הנתמך של אותו מימוש.

אמתו את הזרימה, לא את המונה

אחרי התיקון, בדקו את זרימת ה-IPv6 האמיתית מקצה לקצה: בקשת יישום דרך המנהרה, תשובתה, וזוג הכתובות שכל צד רואה. מונה ESP שעולה מוכיח רק שחבילות מתקבלות ומאומתות. הוא לא אומר דבר על האם החבילה הפנימית הייתה שמישה.

רשמו את שתי התוצאות בכרטיס. תנועת מונה יחד עם זרימה שעובדת היא תיקון; תנועת מונה לבדה היא בדיוק מה שהיה לכם לפני שהתחלתם.