ESP-ն հասել է, բայց ոչինչ չի վերծանվել? Հետևեք ներքին փուլերին

Ընդունումը, անվտանգության մշակումը և փոխանցումը երեք տարբեր արդյունքներ են: Որոշեք, թե որ փուլն է հեռացրել փաթեթը, նախքան որևէ մուտքի կանոն լայնացնելը:

Երբ հրապատի գաղտնագրման հաշվիչը բարձրանում է, մինչ թունելը ոչինչ չի հասցնում, բնազդը մուտքի կանոնը լայնացնելն է: Այդ բնազդը բաց է թողնում ընդունիչի սեփական ստուգումների հաջորդականությունը: Ներգնա ESP փաթեթն անցնում է մի քանի փուլերով, և յուրաքանչյուրը կարող է ավարտել փաթեթի կյանքը տարբեր պատճառով՝ չկա համապատասխան ասոցիացիա, կրկնման կամ ամբողջականության ձախողում, կամ ներքին փաթեթը լավն է, բայց առաջ չի թույլատրվում: Ձախողված փուլը անվանելը IPsec-ի փչացած լինելու մասին անորոշ պնդումը դարձնում է կոնկրետ հաշվիչ և կոնկրետ ուղղում:

Ժամանումը մեկ դիտարկում է, ոչ թե երեք

Արտաքին գրանցումը, որը ցույց է տալիս, որ ESP-ն հասնում է դարպասին, ապացուցում է միայն, որ արտաքին փաթեթը ժամանել է: Ընդունումը նշանակում է, որ ընդունիչը գտել է ասոցիացիան և վավերացրել փաթեթը: Առաքումը նշանակում է, որ վերականգնված ներքին փաթեթն ուղղորդվել է իր նպատակակետ և պատասխանվել: Սրանք առանձին արդյունքներ են, և դրանք միավորող վահանակը թաքցնում է հենց ձեզ անհրաժեշտ տեղեկությունը:

Նույն տարբերությունը բացատրում է հաճախ հանդիպող հաշվետվություն. մի կողմի գաղտնագրման հաշվիչը բարձրանում է, մինչ մյուսը չի հաղորդում ոչ մի օգտակար վերծանված երթևեկություն: Երկու պնդումներն էլ կարող են ճիշտ լինել միաժամանակ, որովհետև նկարագրում են նույն փորձի տարբեր փուլեր:

Ասոցիացիայի որոնումը կատարվում է վերծանումից առաջ

Ընդունիչը անհրաժեշտության դեպքում նորից հավաքում է բեկորները, ապա գտնում փաթեթի անվտանգության ասոցիացիան: Սովորական unicast-ի դեպքում այն ընտրում են SPI-ն և նպատակակետը: Վավեր ասոցիացիայի բացակայության դեպքում հետագա մշակում չի լինում, դրա համար հնացած կամ անհամապատասխան SPI-ն ստեղծում է լռություն, այլ ոչ թե հավելվածին տեսանելի սխալ:

Ասոցիացիաները ուղղորդված են և կարող են փոխվել բանալիների նորացման ընթացքում, ուստի գրանցեք ընդունող կողմը, SPI-ն և ժամանակի դրոշմը ձեր կարծիքով ընթացիկ ներգնա ասոցիացիայի կողքին: Ցուցադրված ելքային ասոցիացիան կամ առողջ IKE հարաբերությունը չի փոխարինում այն մեկին, որը պետք է ստանա այս փաթեթը:

Կրկնման և ամբողջականության ստուգումները մերժում են մինչև բեռնվածքի գոյությունը

Ասոցիացիան գտնելուց հետո ընդունիչը կիրառում է նրա սահմանած ալգորիթմները: Եթե կրկնման պաշտպանությունը միացված է, պատուհանից դուրս հաջորդականության համարը մերժվում է: Ամբողջականության ստուգման ձախողումը նույնպես ավարտում է մշակումը, որովհետև ICV-ն չի համապատասխանում ստացված փաթեթին: Ոչ մի դեպք չի ստեղծում վերծանված ներքին փաթեթ, ուստի ոչինչ չի հասնում ուղղորդմանը, քաղաքականությանը կամ հավելվածին:

Այս վիճակների համար օգտագործեք իրականացման փաստաթղթավորված սխալներն ու հաշվիչները, փոխարենը յուրաքանչյուր ընդունման ձախողում մուտքի ցանկի մերժում համարելու: Ամբողջականության կամ կրկնման պաշտպանության անջատումը, որպեսզի երթևեկությունը երևա, չի ապացուցում, որ ներգնա փաթեթը օրինական էր. այն հեռացնում է այն ստուգումը, որը ճշմարտությունն էր հաղորդում:

UDP 4500 պորտը տարա է, ոչ թե դատավճիռ

NAT-ի անցումը ESP-ն տեղափոխում է UDP-ի ներսում, և նույն պորտը տեղափոխում է նաև IKE և կենդանի պահելու հաղորդագրություններ: Ուստի 4500-ի վրա ակտիվությունը ասում է, որ ինչ-որ բան օգտագործում է պորտը, ոչ թե որ հավելվածը ստեղծել է ESP փաթեթ: Դասակարգեք բեռնվածքը նախքան այն տվյալների երթևեկությանը վերագրելը:

Սա կարևոր է, երբ գրանցումը միակ հասանելի ապացույցն է: Ժամանակին հասնող կենդանի պահելու հաղորդագրությունը կարող է մեռած թունելը կենդանի ցույց տալ, իսկ IKE հաղորդագրությունը կարող է գրանցումը ավելի զբաղված ցույց տալ, քան տվյալների ուղին իրականում է:

Ուղղորդումն ու քաղաքականությունը կիրառվում են միայն արդյունահանումից հետո

Երբ վերծանումը հաջողվում է, վերականգնված ներքին փաթեթը մտնում է սովորական ուղի՝ քաղաքականության ստուգումներ, ուղղորդում, փոխանցման կանոններ և նպատակակետ հոսթ: Փաթեթը կարող է անցնել բոլոր անվտանգության ստուգումները և այնուամենայնիվ այստեղ դեն նետվել, և պատասխանի ուղին նույնպես պետք է գոյություն ունենա: Այդ ձախողումը պատկանում է փոխանցմանը, ոչ ESP-ին:

Հաշվիչները կապված պահեք իրենց փաստաթղթավորված փուլին: Ինտերֆեյսի ընդունումը, ընդունված ESP-ն, վերծանված բայթերը և փոխանցված ներքին փաթեթները պարտադիր չէ, որ նույն թիվը լինեն, հատկապես երբ արագացված ուղին զբաղվում է տվյալների հարթությամբ, իսկ կառավարման հարթությունը առանձին է հաշվետվում: Ընդհանուր վահանակի պիտակը ապացույց չէ, որ երկու հաշվիչ նույն բանն են նշանակում:

Մեկ նոր լիազորված գործողության համար պահեք վերջին հաստատված սահմանը և առաջին համապատասխան սխալը: Այդ զույգը հաջորդ ադմինիստրատորին ասում է, թե ինչ հետաքննել՝ տրանսպորտային առաքումը, ասոցիացիան և ամբողջականությունը, թե սովորական ներքին փոխանցումը, և խուսափում է սովորական ուղղումից՝ բոլոր կանոնները թույլատրող դարձնել թվով շարժելու համար:

Առնչվող հոդվածներ