ESP kom en ekkert var afkóðað? Fylgdu inngangsstigunum

Þegar dulkóðunarteljari eldveggs hækkar á meðan göngin skila engu er hvatinn að víkka aðgangsreglu. Sá hvati sleppir eigin röðathugun móttakandans. Inngangs ESP-pakki fer í gegnum nokkur stig, og hvert þeirra getur endað líf pakkans af annarri ástæðu: engin samsvarandi tenging, bilun í endurspilun eða heilleika, eða innra pakki sem er í lagi en er ekki leyfður áfram. Að nefna stigið sem brást breytir óljósum fullyrðingum um að IPsec sé bilað í tiltekinn teljara og tiltekna lagfæringu.

Koma er ein athugun, ekki þrjár

Ytri upptaka sem sýnir að ESP nái til gáttarinnar sannar aðeins að ytri pakkinn hafi komið. Móttaka þýðir að móttakandinn fann tenginguna og staðfesti pakkann. Afhending þýðir að endurheimti innri pakkinn var beint til áfangastaðar og svarað. Þetta eru aðskildar niðurstöður, og mælaborð sem bræðir þær saman felur einmitt upplýsingarnar sem þú þarft.

Sama aðgreining skýrir algenga skýrslu: dulkóðunarteljari annars aðilans hækkar á meðan hinn tilkynnir enga gagnlega afkóðaða umferð. Báðar fullyrðingarnar geta verið sannar á sama tíma, því þær lýsa mismunandi stigum sömu tilraunar.

Leit að tengingu fer fram fyrir afkóðun

Móttakandinn setur búta saman ef þörf krefur og finnur síðan öryggistengingu pakkans. Í venjulegu unicast velja SPI og áfangastaðurinn hana. Án gildrar tengingar verður engin frekari vinnsla, þess vegna veldur úrelt eða ósamræmt SPI þögn í stað villu sem forritið sér.

Tengingar eru stefnubundnar og geta breyst við endurnýjun lykla, svo skráðu móttökuaðilann, SPI og tímaröðina við hlið inngangstengingarinnar sem þú telur vera núverandi. Sýnd útgangstenging, eða heilbrigt IKE-samband, kemur ekki í staðinn fyrir þá sem ætti að taka á móti þessum pakka.

Endurspilunar- og heilleikaprófanir hafna áður en farmur er til

Þegar tenging er fundin beitir móttakandinn þeim reikniritum sem hún tilgreinir. Ef vörn gegn endurspilun er virk er raðnúmeri utan gluggans hafnað. Bilun í heilleikaprófun endar einnig vinnsluna, því ICV passar ekki við pakkann eins og hann var móttekinn. Ekkert tilvikið framleiðir afkóðaðan innri pakka, svo ekkert nær til leiðsendingar, stefnu eða forritsins.

Notaðu skjalfestar villur og teljara útfærslunnar fyrir þessi ástand í stað þess að meðhöndla hverja móttökubilun sem höfnun aðgangslista. Að slökkva á heilleika eða vörn gegn endurspilun til að láta umferð birtast sannar ekki að inngangspakkinn hafi verið lögmætur; það fjarlægir prófunina sem sagði sannleikann.

UDP-port 4500 er ílát, ekki dómur

NAT-gegnumferð ber ESP inni í UDP, og sama portið ber einnig IKE- og lífsskilaboð. Virkni á 4500 segir því að eitthvað noti portið, ekki að forritið hafi framleitt ESP-pakka. Flokkaðu farminn áður en þú rekja hann til gagnsumferðar.

Þetta skiptir máli þegar upptakan er eina sönnunin sem til er. Lífsskilaboð sem berast á réttum tíma geta látið dauð göng líta lifandi út, og IKE-skilaboð geta látið upptöku líta annasamari út en gagnaleiðin er í raun.

Aðeins eftir útdráttinn gilda leiðsending og stefna

Þegar afkóðun tekst gengur endurheimti innri pakkinn inn á venjulegu leiðina: stefnuprófanir, leiðsending, áframhaldsreglur og áfangastaðarhýsillinn. Pakki getur staðist allar öryggisprófanir og samt verið felldur hér, og svarleiðin verður líka að vera til. Sú bilun tilheyrir áframhaldi, ekki ESP.

Haltu teljurum bundnum við skjalfest stig þeirra. Móttaka á viðmóti, samþykkt ESP, afkóðuð bæti og áfram sendir innri pakkar þurfa ekki að vera sama talan, sérstaklega þegar hröðuð leið sér um gagnasviðið og stýrisviðið tilkynnir sér. Almennt mælaborðsmerki er ekki sönnun þess að tveir teljarar þýði það sama.

Fyrir eina nýja heimilaða aðgerð skaltu varðveita síðustu staðfestu mörkin og fyrstu viðeigandi villuna. Það par segir næsta stjórnanda hvort rannsaka eigi afhendingu flutnings, tengingu og heilleika, eða venjulegt innra áframhald, og forðar frá venjulegu lagfæringunni að gera hverja reglu leyfandi til að hreyfa tölu.