Megérkezett az ESP, de semmi sem lett visszafejtve? Kövesse a bejövő szakaszokat

Amikor egy tűzfal titkosítási számlálója emelkedik, miközben az alagút semmit sem szállít, az ösztön az, hogy szélesítsük a hozzáférési szabályt. Ez az ösztön kihagyja a fogadó saját ellenőrzési sorrendjét. Egy bejövő ESP-csomag több szakaszon halad át, és mindegyik más okból vethet véget a csomag életének: nincs megfelelő társítás, visszajátszás vagy integritás hiba, vagy a belső csomag rendben van, de nem engedhető tovább. A meghiúsult szakasz megnevezése a homályos IPsec elromlott állítást konkrét számlálóvá és konkrét javítássá alakítja.

A megérkezés egy megfigyelés, nem három

Egy külső rögzítés, amely azt mutatja, hogy az ESP eléri az átjárót, csak azt bizonyítja, hogy a külső csomag megérkezett. Az elfogadás azt jelenti, hogy a fogadó megtalálta a társítást és érvényesítette a csomagot. A kézbesítés azt jelenti, hogy a helyreállított belső csomagot a rendeltetési helyére irányították és válaszoltak rá. Ezek külön eredmények, és az a műszerfal, amely egyesíti őket, éppen a szükséges információt rejti el.

Ugyanez a különbség magyaráz egy gyakori jelentést: az egyik fél titkosítási számlálója emelkedik, míg a másik nem jelent hasznos visszafejtett forgalmat. Mindkét állítás egyszerre igaz lehet, mert ugyanazon kísérlet különböző szakaszait írják le.

A társítás keresése a visszafejtés előtt történik

A fogadó szükség esetén újra összeállítja a töredékeket, majd megkeresi a csomag biztonsági társítását. Közönséges unicast esetén az SPI és a cél választja ki. Érvényes társítás nélkül nincs további feldolgozás, ezért az elavult vagy nem illő SPI csendet eredményez az alkalmazás számára látható hiba helyett.

A társítások irányítottak, és kulcsfrissítés közben változhatnak, ezért jegyezze fel a fogadó felet, az SPI-t és az időbélyeget az Ön szerint aktuális bejövő társítás mellé. Egy megjelenített kimenő társítás vagy egészséges IKE-kapcsolat nem helyettesíti azt, amelynek ezt a csomagot fogadnia kellene.

A visszajátszás- és integritásellenőrzések a hasznos teher létrejötte előtt elutasítanak

Miután a társítás megtalálható, a fogadó alkalmazza az általa meghatározott algoritmusokat. Ha a visszajátszás elleni védelem be van kapcsolva, az ablakon kívüli sorszám elutasításra kerül. Az integritásellenőrzés hibája is befejezi a feldolgozást, mert az ICV nem egyezik a fogadott csomaggal. Egyik eset sem hoz létre visszafejtett belső csomagot, így semmi sem ér el az útválasztáshoz, a házirendhez vagy az alkalmazáshoz.

Ezekre az állapotokra használja a megvalósítás dokumentált hibáit és számlálóit, ahelyett hogy minden fogadási hibát hozzáférési lista elutasításának tekintene. Az integritás vagy a visszajátszás elleni védelem kikapcsolása, hogy a forgalom megjelenjen, nem bizonyítja, hogy a bejövő csomag jogszerű volt; eltávolítja azt az ellenőrzést, amely az igazat mondta.

A 4500-as UDP-port egy tartály, nem ítélet

A NAT-átjárás ESP-t szállít UDP-n belül, és ugyanaz a port IKE- és életben tartó üzeneteket is szállít. Ezért a 4500-on látható aktivitás azt mondja, hogy valami használja a portot, nem azt, hogy az alkalmazás ESP-csomagot állított elő. Osztályozza a hasznos terhet, mielőtt az adatforgalomhoz rendeli.

Ez akkor számít, amikor a rögzítés az egyetlen rendelkezésre álló bizonyíték. Egy időben érkező életben tartó üzenet élőnek láttathat egy halott alagutat, és egy IKE-üzenet forgalmasabbnak láttathatja a rögzítést, mint amilyen az adatút valójában.

Csak a kinyerés után érvényesül az útválasztás és a házirend

Amikor a visszafejtés sikerül, a helyreállított belső csomag a szokásos útra lép: házirend-ellenőrzések, útválasztás, továbbítási szabályok és a célgép. Egy csomag minden biztonsági ellenőrzést átléphet, és mégis itt eshet el, és a válaszútnak is léteznie kell. Ez a hiba a továbbításhoz tartozik, nem az ESP-hez.

Tartsa a számlálókat a dokumentált szakaszukhoz kötve. Az interfész fogadása, az elfogadott ESP, a visszafejtett bájtok és a továbbított belső csomagok nem feltétlenül ugyanaz a szám, különösen amikor egy gyorsított útvonal kezeli az adatsíkot, és a vezérlősík külön jelent.

Egy új engedélyezett művelethez őrizze meg az utolsó megerősített határt és az első releváns hibát. Ez a pár megmondja a következő adminisztrátornak, hogy a szállítási kézbesítést, a társítást és az integritást vagy a szokásos belső továbbítást vizsgálja-e, és elkerüli azt a szokásos javítást, hogy minden szabályt megengedővé tesznek egy szám mozgatásához.