ESP tiba tetapi tidak ada yang didekripsi? Ikuti tahapan masuk

Ketika penghitung enkripsi firewall naik sementara terowongan tidak mengirim apa pun, dorongan pertama adalah memperlebar aturan akses. Dorongan itu melewati urutan pemeriksaan milik penerima sendiri. Paket ESP masuk melewati beberapa tahap, dan setiap tahap dapat mengakhiri hidup paket karena alasan berbeda: tidak ada asosiasi yang cocok, kegagalan replay atau integritas, atau paket dalam yang baik-baik saja tetapi tidak diizinkan lewat. Menyebutkan tahap yang gagal mengubah pernyataan samar bahwa IPsec rusak menjadi penghitung tertentu dan perbaikan tertentu.

Kedatangan adalah satu pengamatan, bukan tiga

Tangkapan luar yang menunjukkan ESP mencapai gateway hanya membuktikan paket luar tiba. Penerimaan berarti penerima menemukan asosiasi dan memvalidasi paket. Pengiriman berarti paket dalam yang dipulihkan dirutekan ke tujuannya dan dijawab. Itu hasil yang terpisah, dan dasbor yang menggabungkannya justru menyembunyikan informasi yang Anda butuhkan.

Perbedaan yang sama menjelaskan laporan umum: penghitung enkripsi satu pihak naik sementara pihak lain tidak melaporkan lalu lintas terdekripsi yang berguna. Kedua pernyataan bisa benar sekaligus, karena keduanya menggambarkan tahap berbeda dari percobaan yang sama.

Pencarian asosiasi terjadi sebelum dekripsi

Penerima merakit ulang fragmen bila perlu, lalu menemukan asosiasi keamanan untuk paket itu. Pada unicast biasa, SPI dan tujuan yang memilihnya. Tanpa asosiasi yang valid tidak ada pemrosesan lebih lanjut, itulah sebabnya SPI yang usang atau tidak cocok menghasilkan kesunyian alih-alih galat yang terlihat oleh aplikasi.

Asosiasi bersifat berarah dan dapat berubah selama pembaruan kunci, jadi catat pihak penerima, SPI, dan stempel waktu di samping asosiasi masuk yang Anda anggap terkini. Asosiasi keluar yang ditampilkan, atau hubungan IKE yang sehat, bukan pengganti asosiasi yang seharusnya menerima paket ini.

Pemeriksaan replay dan integritas menolak sebelum ada muatan

Setelah asosiasi ditemukan, penerima menerapkan algoritme yang ditentukan asosiasi itu. Jika perlindungan anti-replay diaktifkan, nomor urut di luar jendela ditolak. Kegagalan pemeriksaan integritas juga mengakhiri pemrosesan, karena ICV tidak cocok dengan paket seperti yang diterima. Tidak ada kasus yang menghasilkan paket dalam terdekripsi, sehingga tidak ada yang mencapai perutean, kebijakan, atau aplikasi.

Gunakan galat dan penghitung terdokumentasi dari implementasi untuk kondisi ini alih-alih memperlakukan setiap kegagalan penerimaan sebagai penolakan daftar akses. Menonaktifkan integritas atau perlindungan replay agar lalu lintas muncul tidak membuktikan bahwa paket masuk itu sah; itu menghapus pemeriksaan yang menyatakan kebenaran.

Port UDP 4500 adalah wadah, bukan putusan

Traversal NAT membawa ESP di dalam UDP, dan port yang sama juga membawa pesan IKE dan keepalive. Aktivitas pada 4500 karena itu menyatakan ada sesuatu yang memakai port, bukan bahwa aplikasi menghasilkan paket ESP. Klasifikasikan muatan sebelum mengaitkannya dengan lalu lintas data.

Ini penting ketika tangkapan adalah satu-satunya bukti. Pesan keepalive yang tiba tepat waktu dapat membuat terowongan mati tampak hidup, dan pesan IKE dapat membuat tangkapan tampak lebih sibuk daripada jalur data sebenarnya.

Perutean dan kebijakan baru berlaku setelah ekstraksi

Ketika dekripsi berhasil, paket dalam yang dipulihkan masuk ke jalur normal: pemeriksaan kebijakan, perutean, aturan penerusan, dan host tujuan. Sebuah paket dapat melewati semua pemeriksaan keamanan dan tetap dijatuhkan di sini, dan jalur balasan juga harus ada. Kegagalan itu milik penerusan, bukan ESP.

Jaga penghitung tetap terikat pada tahapnya yang terdokumentasi. Penerimaan antarmuka, ESP yang diterima, byte terdekripsi, dan paket dalam yang diteruskan tidak harus berupa angka yang sama, terutama ketika jalur dipercepat menangani bidang data dan bidang kendali melapor secara terpisah. Label dasbor generik bukan bukti bahwa dua penghitung berarti hal yang sama.

Untuk satu operasi sah yang baru, simpan batas terkonfirmasi terakhir dan galat relevan pertama. Pasangan itu memberi tahu administrator berikutnya apakah harus menyelidiki pengiriman transport, asosiasi dan integritas, atau penerusan dalam biasa, dan menghindari perbaikan lazim membuat setiap aturan permisif agar angka bergerak.