ESP მოვიდა, მაგრამ არაფერი გაშიფრვილა? მიჰყევით შემავალ ეტაპებს

როცა ფაირვოლის დაშიფვრის მრიცხველი იზრდება და გვირაბი არაფერს აწვდის, ინსტინქტი წვდომის წესის გაფართოებას გვკარნახობს. ეს ინსტინქტი გამოტოვებს მიმღების საკუთარ შემოწმებათა თანმიმდევრობას. შემავალი ESP პაკეტი რამდენიმე ეტაპს გადის და თითოეულმა შეიძლება დაასრულოს პაკეტის სიცოცხლე სხვადასხვა მიზეზით: არ არის შესაბამისი ასოციაცია, განმეორების ან მთლიანობის შემოწმების ჩავარდნა, ან შიდა პაკეტი რიგზეა, მაგრამ შემდგომ არ დაიშვება. ჩავარდნილი ეტაპის დასახელება გაურკვეველ განცხადებას IPsec-ის გაფუჭებაზე აქცევს კონკრეტულ მრიცხველად და კონკრეტულ შესწორებად.

ჩამოსვლა ერთი დაკვირვებაა, არა სამი

გარე ჩაწერა, რომელიც აჩვენებს ESP-ის კარიბჭემდე მისვლას, მხოლოდ იმას ამტკიცებს, რომ გარე პაკეტი ჩამოვიდა. მიღება ნიშნავს, რომ მიმღებმა იპოვა ასოციაცია და გადაამოწმა პაკეტი. მიწოდება ნიშნავს, რომ აღდგენილი შიდა პაკეტი მიმართულ იქნა დანიშნულების ადგილზე და პასუხი მიიღო. ეს ცალკეული შედეგებია და დაფა, რომელიც მათ აერთიანებს, ზუსტად იმ ინფორმაციას მალავს, რომელიც გჭირდებათ.

იგივე განსხვავება ხსნის ხშირ ცნობას: ერთი მხარის დაშიფვრის მრიცხველი იზრდება, როცა მეორე არ იტყობინება სასარგებლო გაშიფრულ ტრაფიკს. ორივე მტკიცება შეიძლება ერთდროულად მართალი იყოს, რადგან ისინი ერთი ცდის სხვადასხვა ეტაპს აღწერენ.

ასოციაციის ძებნა გაშიფვრამდე ხდება

მიმღები საჭიროების შემთხვევაში ხელახლა აწყობს ფრაგმენტებს, შემდეგ პოულობს პაკეტის უსაფრთხოების ასოციაციას. ჩვეულებრივ unicast-ში მას SPI და დანიშნულება ირჩევენ. მოქმედი ასოციაციის გარეშე შემდგომი დამუშავება არ ხდება, ამიტომ მოძველებული ან შეუსაბამო SPI სიჩუმეს ქმნის და არა შეცდომას, რომელსაც აპლიკაცია ხედავს.

ასოციაციები მიმართულები არიან და შეიძლება შეიცვალონ გასაღებების განახლებისას, ამიტომ ჩაწერეთ მიმღები მხარე, SPI და დროის ნიშა იმ შემავალი ასოციაციის გვერდით, რომელსაც მიმდინარედ თვლით. ნაჩვენები გამავალი ასოციაცია ან ჯანსაღი IKE ურთიერთობა არ ცვლის იმას, რომელმაც ეს პაკეტი უნდა მიიღოს.

განმეორებისა და მთლიანობის შემოწმებები უარყოფენ ტვირთის არსებობამდე

ასოციაციის პოვნის შემდეგ მიმღები იყენებს იმ ალგორითმებს, რომლებსაც ეს ასოციაცია განსაზღვრავს. თუ განმეორების დაცვა ჩართულია, ფანჯრის გარეთ არსებული მიმდევრობის ნომერი უარყოფილია. მთლიანობის შემოწმების ჩავარდნა ასევე ასრულებს დამუშავებას, რადგან ICV არ ემთხვევა პაკეტს ისე, როგორც ის მიღებულ იქნა. არც ერთი შემთხვევა არ ქმნის გაშიფრულ შიდა პაკეტს, ამიტომ არაფერი აღწევს მარშრუტიზაციამდე, პოლიტიკამდე ან აპლიკაციამდე.

ამ მდგომარეობებისთვის გამოიყენეთ იმპლემენტაციის დოკუმენტირებული შეცდომები და მრიცხველები, ნაცვლად იმისა, რომ ყოველი მიღების ჩავარდნა წვდომის სიის უარყოფად მიიჩნიოთ. მთლიანობის ან განმეორების დაცვის გამორთვა იმისთვის, რომ ტრაფიკი გამოჩნდეს, არ ამტკიცებს, რომ შემავალი პაკეტი ლეგიტიმური იყო; ის აშორებს იმ შემოწმებას, რომელიც სიმართლეს ამბობდა.

UDP პორტი 4500 კონტეინერია და არა განაჩენი

NAT-ის გავლა ESP-ს UDP-ის შიგნით ატარებს და იგივე პორტი IKE და keepalive შეტყობინებებსაც ატარებს. ამიტომ 4500-ზე აქტივობა ამბობს, რომ რაღაც პორტს იყენებს და არა იმას, რომ აპლიკაციამ ESP პაკეტი შექმნა. დაახარისხეთ ტვირთი, სანამ მას მონაცემთა ტრაფიკს მიაწერთ.

ეს მნიშვნელოვანია, როცა ჩაწერა ერთადერთი ხელმისაწვდომი მტკიცებულებაა. დროულად მოსული keepalive შეტყობინება მკვდარ გვირაბს ცოცხლად აჩვენებს, ხოლო IKE შეტყობინება ჩაწერას უფრო დატვირთულად წარმოაჩენს, ვიდრე მონაცემთა გზა სინამდვილეშია.

მარშრუტიზაცია და პოლიტიკა მხოლოდ ამოღების შემდეგ მოქმედებს

როცა გაშიფვრა წარმატებულია, აღდგენილი შიდა პაკეტი შედის ჩვეულებრივ გზაზე: პოლიტიკის შემოწმებები, მარშრუტიზაცია, გადაგზავნის წესები და დანიშნულების ჰოსტი. პაკეტმა შეიძლება ყველა უსაფრთხოების შემოწმება გაიაროს და მაინც აქ ჩამოვარდეს, და პასუხის გზაც უნდა არსებობდეს. ეს ჩავარდნა გადაგზავნას ეკუთვნის და არა ESP-ს.

მრიცხველები დაუკავშირეთ მათ დოკუმენტირებულ ეტაპს. ინტერფეისის მიღება, მიღებული ESP, გაშიფრული ბაიტები და გადაგზავნილი შიდა პაკეტები სულაც არ უნდა იყოს ერთი და იგივე რიცხვი, მით უმეტეს როცა აჩქარებული გზა მართავს მონაცემთა სიბრტყეს და საკონტროლო სიბრტყე ცალკე იტყობინება. ზოგადი დაფის ეტიკეტი არ არის მტკიცებულება, რომ ორი მრიცხველი ერთსა და იმავეს ნიშნავს.

ერთი ახალი უფლებამოსილი ოპერაციისთვის შეინარჩუნეთ ბოლო დადასტურებული საზღვარი და პირველი შესაბამისი შეცდომა. ეს წყვილი შემდეგ ადმინისტრატორს ეუბნება, გამოიკვლიოს ტრანსპორტის მიწოდება, ასოციაცია და მთლიანობა, თუ ჩვეულებრივი შიდა გადაგზავნა, და თავიდან აიცილებს ჩვეულ შესწორებას ყველა წესის დასაშვებად გახდომისა რიცხვის გადასაადგილებლად.