ESP è arrivato ma nulla è stato decifrato? Seguite le fasi in ingresso

Quando il contatore di cifratura di un firewall sale mentre il tunnel non consegna nulla, l'istinto è ampliare una regola di accesso. Quell'istinto salta la sequenza di controlli del ricevitore stesso. Un pacchetto ESP in ingresso attraversa diverse fasi, e ciascuna può porre fine alla vita del pacchetto per un motivo diverso: nessuna associazione corrispondente, un errore di replay o di integrità, o un pacchetto interno corretto ma non consentito oltre. Nominare la fase che ha fallito trasforma un'affermazione vaga che IPsec è guasto in un contatore preciso e una correzione precisa.

L'arrivo è un'osservazione, non tre

Una cattura esterna che mostra ESP raggiungere il gateway prova solo che il pacchetto esterno è arrivato. L'accettazione significa che il ricevitore ha trovato l'associazione e ha convalidato il pacchetto. La consegna significa che il pacchetto interno recuperato è stato instradato alla destinazione e ha ricevuto risposta. Sono risultati distinti, e una dashboard che li unisce nasconde esattamente l'informazione che serve.

La stessa distinzione spiega un resoconto comune: il contatore di cifratura di un peer sale mentre l'altro non segnala alcun traffico decifrato utile. Entrambe le affermazioni possono essere vere insieme, perché descrivono fasi diverse dello stesso tentativo.

La ricerca dell'associazione avviene prima della decifratura

Il ricevitore riassembla i frammenti se necessario, poi trova l'associazione di sicurezza del pacchetto. Nell'unicast ordinario la scelgono l'SPI e la destinazione. Senza un'associazione valida non avviene ulteriore elaborazione, per questo un SPI obsoleto o non corrispondente produce silenzio invece di un errore visibile all'applicazione.

Le associazioni sono direzionali e possono cambiare durante un rinnovo delle chiavi, quindi annotate il peer ricevente, l'SPI e il timestamp accanto all'associazione in ingresso che considerate attuale. Un'associazione in uscita mostrata, o una relazione IKE sana, non sostituisce quella che dovrebbe ricevere questo pacchetto.

I controlli di replay e integrità rifiutano prima che esista un carico utile

Una volta trovata l'associazione, il ricevitore applica gli algoritmi che essa specifica. Se la protezione contro il replay è attiva, un numero di sequenza fuori dalla finestra viene rifiutato. Anche un errore del controllo di integrità termina l'elaborazione, perché l'ICV non corrisponde al pacchetto così com'è stato ricevuto. Nessuno dei due casi produce un pacchetto interno decifrato, quindi nulla raggiunge l'instradamento, la politica o l'applicazione.

Usate gli errori e i contatori documentati dell'implementazione per queste condizioni invece di trattare ogni errore di ricezione come un rifiuto della lista di accesso. Disattivare l'integrità o la protezione contro il replay per far comparire traffico non dimostra che il pacchetto in ingresso fosse legittimo; elimina il controllo che diceva la verità.

La porta UDP 4500 è un contenitore, non un verdetto

Il passaggio NAT trasporta ESP dentro UDP, e la stessa porta trasporta anche messaggi IKE e di keepalive. L'attività sulla 4500 quindi dice che qualcosa usa la porta, non che l'applicazione abbia prodotto un pacchetto ESP. Classificate il carico utile prima di attribuirlo al traffico dati.

Questo conta quando la cattura è l'unica prova disponibile. Un messaggio di keepalive che arriva puntuale può far sembrare vivo un tunnel morto, e un messaggio IKE può far sembrare una cattura più trafficata di quanto sia realmente il percorso dati.

Solo dopo l'estrazione si applicano instradamento e politica

Quando la decifratura riesce, il pacchetto interno recuperato entra nel percorso normale: controlli di politica, instradamento, regole di inoltro e host di destinazione. Un pacchetto può superare ogni controllo di sicurezza ed essere comunque scartato qui, e anche il percorso di risposta deve esistere. Quell'errore appartiene all'inoltro, non a ESP.

Tenete i contatori legati alla loro fase documentata. Ricezione sull'interfaccia, ESP accettato, byte decifrati e pacchetti interni inoltrati non devono essere lo stesso numero, soprattutto quando un percorso accelerato gestisce il piano dati e il piano di controllo riporta separatamente. Un'etichetta generica della dashboard non è prova che due contatori significhino la stessa cosa.

Per una nuova operazione autorizzata, conservate l'ultimo confine confermato e il primo errore rilevante. Quella coppia dice all'amministratore successivo se indagare sulla consegna del trasporto, sull'associazione e sull'integrità, o sull'inoltro interno ordinario, ed evita la correzione abituale di rendere permissiva ogni regola per muovere un numero.