VPN पैकेट में कितने चेकसम होते हैं? यह निर्भर करता है

यह दावा कि VPN पैकेट ठीक दो चेकसम ढोता है, सुगठित सुनाई देता है और इतनी बार गलत होता है कि उसे खोलना उचित है। संख्या इस पर निर्भर करती है कि कौन से IP संस्करण आते हैं, कौन सा परिवहन प्रोटोकॉल ढोया जाता है और सुरंग कौन सा सुरक्षा प्रारूप इस्तेमाल करती है। हेडर चेकसम, ऊपरी परत का चेकसम और क्रिप्टोग्राफ़िक अखंडता टैग तीन अलग-अलग विस्तार वाले तीन तंत्र हैं। उनकी गिनती इस बात को चिह्नित करने से शुरू होती है कि हर एक क्या ढकता है।

जाँचें कि तार पर वास्तव में कौन से IP संस्करण हैं

IPv4 हेडर 16-बिट हेडर चेकसम ढोते हैं, और IPv6 हेडर ऐसा कुछ नहीं ढोते। यह एक तथ्य हर सुरंग के लिए संख्या बदल देता है, क्योंकि IPv4 को IPv6 के भीतर और IPv6 को IPv4 के भीतर लपेटने से अलग दस्तावेज़ बनते हैं। एक सुरंग दोनों परिवारों को एक साथ ढो सकती है, और उस स्थिति में एक दिशा में ऐसा क्षेत्र हो सकता है जो दूसरी में नहीं है। कुछ भी गिनने से पहले संस्करण तय करें।

लेआउट को चित्र के बजाय हेडर की सूची के रूप में लिखें। कैप्चर पढ़ते समय क्रम मायने रखता है, और चेकसम क्षेत्र की उपस्थिति या अनुपस्थिति पहली चिह्नित करने योग्य चीज़ है।

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

पहली पंक्ति के अपने IP हेडरों में कहीं भी IP हेडर चेकसम नहीं है, जबकि दूसरी में दो हैं जब दोनों हेडर IPv4 हैं। वही सुरंग तकनीक, अलग संख्या, और दोनों में से कोई भी पंक्ति पूर्ण तार प्रारूप नहीं है।

जाँचें कि हर चेकसम क्या ढकता है

कवरेज वह हिस्सा है जिसे लोग छोड़ देते हैं, और यही संख्या को अर्थपूर्ण बनाता है। IPv4 हेडर चेकसम हेडर की रक्षा करता है और कुछ नहीं, इसलिए यह उसके पीछे के पेलोड के बारे में कुछ नहीं कहता। IPv6 पर UDP चेकसम एक छद्म-हेडर के साथ UDP हेडर और पेलोड ढकता है, यानी जब डेटाग्राम सुरंग में जाता है तो यह ढोए गए पैकेट तक पहुँचता है। TCP का अपना चेकसम है जिसकी छद्म-हेडर पर समान निर्भरता है। ये तीन अलग विस्तार हैं, भले ही तीनों को चेकसम कहा जाता है।

RFC 791 IPv4 हेडर जाँच और हर हॉप पर उसकी पुनर्गणना को परिभाषित करता है, और RFC 8200 छद्म-हेडर सहित IPv6 पर ऊपरी परत के व्यवहार को परिभाषित करता है। कोई भी दस्तावेज़ यह नहीं कहता कि VPN पैकेट में निश्चित संख्या में चेकसम होते हैं, क्योंकि कोई भी सुरंग का वर्णन नहीं करता।

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

अखंडता सुरक्षा को अलग से जाँचें

ESP अखंडता अपने स्वयं के कवरेज और एल्गोरिदम-निर्भर निरूपण वाली क्रिप्टोग्राफ़िक सुरक्षा है। यह किसी दूसरे नाम से IP या UDP चेकसम नहीं है, और इसकी लंबाई चुनी गई संरचना के अनुसार बदलती है। अखंडता जाँच पैकेट के परिभाषित हिस्से को ढकती है, जो प्रयुक्त मोड के अनुसार ESP हेडर और पेलोड का कुछ हिस्सा शामिल कर सकती है। इसे ज्ञात चौड़ाई के चेकसम क्षेत्र के रूप में गिनना वही जगह है जहाँ इनमें से अधिकांश व्याख्याएँ बिखर जाती हैं।

बाइट गिनने से पहले चुनी गई संरचना पढ़ें, और परिणाम को दूसरे लेबल वाले चेकसम के बजाय अखंडता सुरक्षा के रूप में बताएं। डिकोडर आपसे पूछने पर क्षेत्र का नाम बता देगा।

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

गिनने से पहले अवलोकन बिंदु जाँचें

आंतरिक इंटरफ़ेस पर कैप्चर और तार पर कैप्चर पूरी तरह अलग परतें दिखा सकते हैं। आंतरिक इंटरफ़ेस पर सुरंग पहले ही हटा दी गई है, इसलिए आप ढोया गया पैकेट देखते हैं और बाहरी हेडरों में से कोई नहीं। तार पर आप बाहरी हेडर और एन्क्रिप्टेड पेलोड देखते हैं जिसे आप पढ़ नहीं सकते। कोई भी दृश्य गलत नहीं है, और ये एक ही वस्तु के दृश्य नहीं हैं। कोई भी संख्या बताने से पहले यह बताएं कि कैप्चर कहाँ लिया गया।

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

पहला आदेश बाहरी पैकेट को उसके अखंडता ट्रेलर के साथ दिखाता है, और दूसरा ढोए गए पैकेट को उसके अपने परिवहन चेकसम के साथ दिखाता है। दोनों कैप्चरों की संख्याएँ जोड़ने से कुछ भी दो बार नहीं गिना जाता, पर वही पैकेट दो बार समझाया जाता है।

संख्या को वास्तविक कैप्चर से मिलाएँ

एक पैकेट को पूरी तरह डिकोड करें और हर उस क्षेत्र को चिह्नित करें जिसे डिकोडर चेकसम या अखंडता मान कहता है। फिर हर चिह्न की तुलना उस लेआउट से करें जो आपने लिखा, और जो उस परत से संबंधित हों जिसे आप वास्तव में नहीं गिन रहे, उन्हें हटा दें। जो संख्या उस अभ्यास से बची रहती है वह तर्कसंगत है, और जो स्मृति से बताई जाती है वह नहीं।

उत्तर दिशा के लिए दोहराएँ, क्योंकि दोनों परिवारों को ढोने वाली सुरंग दिशा और प्रवाह के अनुसार भिन्न हो सकती है। फिर संख्या को उसके विस्तार के साथ बताएं, उदाहरण के लिए इस अवलोकन बिंदु पर इस आंतरिक पैकेट के लिए तीन चेकसम, न कि सामान्य रूप से VPN पैकेट की विशेषता के रूप में।

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum