ESP afkóðar fínt og innri pakkinn fer samt hvergi

ESP-móttökuteljarinn hækkar, göngin haldast uppi og forritið sér pakkann aldrei. Afkóðun fór fram, heilleikaprófun stóðst og þá þurfti viðtakandinn að ákveða hvað hlaðinn gagnasendingin er í raun. Einmitt í þessu síðasta skrefi kemur sniðósamræmi í ljós, og að utan lítur það alls ekki út eins og eldveggsvandamál.

Hvað þú sérð þegar merkið lýgur

Ekkert í biðlaraannálinn greinir þetta frá svartholi í leiðsögn. Bæði valda tímamörkum forritsins við hlið heilbrigðra ganga, þess vegna eru teljararnir sakaðir fyrstir.

Hækkandi móttökuteljari er sannarlega góðar fréttir: pakkar berast og eru sannreyndir. Það er ekki sönnun þess að innri pakkinn hafi verið skynsamlegur fyrir nokkuð ofan dulritunarlagsins.

Tegundin býr í trailer

Í venjulegum IPsec-gangnastillingu inniheldur gagnasendingin sem ESP verndar heildstæðan innri IP-pakka. Reitur næsta hauss í trailer segir til um hvað þessi sending er, og það er ekki TCP-gátt, ekki prótókólnúmer í ytri haus og ekki hluti af upphafs SPI- og raðnúmerareitnum. RFC 4303 kafli 2.6 skilgreinir það sem reit fyrir tegund sendingar, sem er nákvæmt heiti fyrir nákvæmt verk.

Gildin sem þú hittir fyrir eru lítil og þess virði að muna: IPv4 er 4 (0x04) og IPv6 er 41 (0x29).

Þessar tölur koma frá úthlutunum IANA á prótókólnúmerum en ekki frá staðbundinni venju. Sendandi sem lýsir yfir IPv4 en pakkar samt inn IPv6-pakka hefur búið til sniðósamræmi, og engin eldveggsregla lagar bæti sem stangast á við eigið merki.

Hvernig á að greina það frá venjulegu grunuðu

Flestir pakkar sem vantar eru ekki kóðunargallar. Athugaðu veljendurna fyrst, því umferðarveljandi sem útilokar IPv6-forskeytið sleppir umferðinni áður en nokkuð er pakkað inn. Athugaðu svo leiðsögn og þá staðbundna síun á viðtökuhýsilnum. Aðeins eftir að það er útilokað verður sniðósamræmi sendingar trúverðug skýring.

Dulrituð fanga leysir þetta ekki, því verndaði næsti hausinn liggur inni í dulrituðu sendingunni. Þú þarft greiningu á útfærslunni eða studdan afkóðaðan athugunarpunkt, og bæði krefjast heimildar fyrir notkun.

Ef enginn getur lagt fram þá sönnun, þá hefur þú ekki sniðgalla. Þú hefur kenningu, og veljendurnir eru áfram betra veðmálið.

Hvað viðgerðin er ekki

Slökktu ekki á heilleikaprófunum til að umferð komist í gegn. Skrifaðu ekki dulritaða pakka yfir á millileiðsögutæki, því það getur ekki virkað og mun skemma flæðið á meðan það lítur gagnlegt út í fanga. Opnaðu ekki breiðari eldveggsreglu fyrir forritið á þeirri kenningu að gátt sé lokuð. Ekkert þessara snertir merkjadskilnaðinn.

Ef staðfest ósamræmi kemur frá útfærslu jafningja, haltu lágmarkshreinsaðri endurgerð og taktu hana á studdan farveg þeirrar útfærslu.

Sannreyndu flæðið, ekki teljarann

Eftir leiðréttinguna skaltu prófa raunverulegt IPv6-flæði frá enda til enda: beiðni forrits gegnum göngin, svar hennar og það netfangaparf sem hvor hlið sér. Hækkandi ESP-teljari sannar aðeins að pakkar séu mótteknir og sannreyndir. Hann segir ekkert um hvort innri pakkinn hafi verið nothæfur.

Skráðu báðar niðurstöður í miðann. Hreyfing teljarans ásamt vinnandi flæði er viðgerð; hreyfing teljarans ein og sér er einmitt það sem þú hafðir áður en þú byrjaðir.