რამდენი საკონტროლო ჯამი აქვს VPN პაკეტს? დამოკიდებულია

მტკიცება, რომ VPN პაკეტი ზუსტად ორ საკონტროლო ჯამს ატარებს, მოწესრიგებულად ჟღერს და საკმარისად ხშირად არის მცდარი, რომ ღირდეს მისი დაშლა. რაოდენობა დამოკიდებულია იმაზე, რომელი IP ვერსიები ჩნდება, რომელი სატრანსპორტო პროტოკოლი გადაიტანება და რომელ დაცვის ფორმატს იყენებს გვირაბი. სათაურის საკონტროლო ჯამი, ზედა დონის საკონტროლო ჯამი და კრიპტოგრაფიული მთლიანობის ტეგი სამი მექანიზმია სამი მოცვით. მათი დათვლა იწყება იმის აღნიშვნით, თუ რას ფარავს თითოეული.

შეამოწმეთ, რომელი IP ვერსიებია რეალურად ხაზზე

IPv4 სათაურები ატარებენ 16 ბიტიან სათაურის საკონტროლო ჯამს, ხოლო IPv6 სათაურები მსგავსს არაფერს ატარებენ. ეს ერთი ფაქტი ცვლის რაოდენობას ყოველი გვირაბისთვის, რადგან IPv4-ის IPv6-ში და IPv6-ის IPv4-ში გახვევა განსხვავებულ დოკუმენტებს ქმნის. გვირაბს შეუძლია ორივე ოჯახი ერთდროულად გადაიტანოს და ამ შემთხვევაში ერთ მიმართულებას შეიძლება ჰქონდეს ველი, რომელიც მეორეს არ აქვს. ვერსიები დაადგინეთ სანამ რამეს დათვლით.

განლაგება დაწერეთ სათაურების სიად და არა სურათად. თანმიმდევრობა მნიშვნელოვანია ჩანაწერის კითხვისას, და საკონტროლო ჯამის ველის არსებობა ან არარსებობა პირველია, რაც უნდა აღინიშნოს.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

პირველ სტრიქონს თავის IP სათაურებში არსად არ აქვს IP სათაურის საკონტროლო ჯამი, ხოლო მეორეს ორი აქვს, როცა ორივე სათაური IPv4-ია. იგივე გვირაბის ტექნოლოგია, განსხვავებული რაოდენობა, და არც ერთი სტრიქონი არ არის სრული ხაზის ფორმატი.

შეამოწმეთ, რას ფარავს თითოეული საკონტროლო ჯამი

დაფარვა ის ნაწილია, რომელსაც ადამიანები გამოტოვებენ, და სწორედ ის ხდის რაოდენობას მნიშვნელოვანს. IPv4 სათაურის საკონტროლო ჯამი იცავს სათაურს და მეტს არაფერს, ამიტომ არაფერს ამბობს მის უკან არსებულ ტვირთზე. UDP საკონტროლო ჯამი IPv6-ზე ფარავს ფსევდო სათაურს, ასევე UDP სათაურსა და ტვირთს, რაც ნიშნავს, რომ ის აღწევს გადატანილ პაკეტში, როცა დატაგრამა გვირაბშია. TCP-ს აქვს საკუთარი საკონტროლო ჯამი ფსევდო სათაურზე მსგავსი დამოკიდებულებით. ეს სამი განსხვავებული მოცვაა, თუმცა სამივეს საკონტროლო ჯამს უწოდებენ.

RFC 791 განსაზღვრავს IPv4 სათაურის შემოწმებას და მის ხელახლა გამოთვლას ყოველ ნახტომზე, ხოლო RFC 8200 განსაზღვრავს ზედა დონის დამუშავებას IPv6-ზე, ფსევდო სათაურის ჩათვლით. არც ერთი დოკუმენტი არ ამბობს, რომ VPN პაკეტს აქვს საკონტროლო ჯამების ფიქსირებული რაოდენობა, რადგან არც ერთი არ აღწერს გვირაბს.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

მთლიანობის დაცვა ცალკე შეამოწმეთ

ESP მთლიანობა კრიპტოგრაფიული დაცვაა საკუთარი დაფარვითა და ალგორითმზე დამოკიდებული წარმოდგენით. ეს არ არის IP ან UDP საკონტროლო ჯამი სხვა სახელით, და მისი სიგრძე იცვლება არჩეული კონსტრუქციის მიხედვით. მთლიანობის შემოწმება ფარავს პაკეტის განსაზღვრულ ნაწილს, რომელიც გამოყენებული რეჟიმის მიხედვით შეიძლება მოიცავდეს ESP სათაურსა და ტვირთის ნაწილს. მისი დათვლა ცნობილი სიგანის საკონტროლო ჯამის ველად სწორედ ის ადგილია, სადაც ამ ახსნათა უმეტესობა იშლება.

ბაიტების დათვლამდე წაიკითხეთ არჩეული კონსტრუქცია და შედეგი აღწერეთ როგორც მთლიანობის დაცვა და არა სხვა ეტიკეტის საკონტროლო ჯამი. დეკოდერი ველს თავად დაასახელებს, თუ ჰკითხავთ.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

დათვლამდე შეამოწმეთ დაკვირვების წერტილი

შიდა ინტერფეისზე ჩანაწერი და ხაზზე ჩანაწერი შეიძლება სრულიად განსხვავებული დონეები აჩვენოს. შიდა ინტერფეისზე გვირაბი უკვე მოხსნილია, ამიტომ ხედავთ გადატანილ პაკეტს და არც ერთ გარე სათაურს. ხაზზე ხედავთ გარე სათაურებსა და დაშიფრულ ტვირთს, რომლის წაკითხვაც არ შეგიძლიათ. არც ერთი ხედი არ არის მცდარი, და ისინი ერთი ობიექტის ხედები არ არიან. მიუთითეთ სად არის ჩანაწერი გაკეთებული, სანამ რაიმე რაოდენობას მოიხსენიებთ.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

პირველი ბრძანება აჩვენებს გარე პაკეტს მისი მთლიანობის კვალით, ხოლო მეორე გადატანილ პაკეტს მისი საკუთარი სატრანსპორტო საკონტროლო ჯამით. ორივე ჩანაწერის რიცხვების შეკრება არაფერს ითვლის ორჯერ, მაგრამ იმავე პაკეტს ორჯერ ხსნის.

შეადარეთ რაოდენობა რეალურ ჩანაწერს

გაშიფრეთ ერთი პაკეტი სრულად და აღნიშნეთ ყოველი ველი, რომელსაც დეკოდერი საკონტროლო ჯამს ან მთლიანობის მნიშვნელობას უწოდებს. შემდეგ შეადარეთ ყოველი ნიშანი თქვენ მიერ დაწერილ განლაგებას და წაშალეთ ისინი, რომლებიც ეკუთვნის დონეს, რომელსაც რეალურად არ ითვლით. რაოდენობა, რომელიც ამ ვარჯიშს გადაურჩება, დასაცავია, ხოლო მეხსიერებიდან მოტანილი რაოდენობა არა.

გაიმეორეთ პასუხის მიმართულებისთვის, რადგან ორივე ოჯახის მატარებელი გვირაბი შეიძლება განსხვავდებოდეს მიმართულებისა და ნაკადის მიხედვით. შემდეგ თქვით რაოდენობა მისი მოცვით, მაგალითად სამი საკონტროლო ჯამი ამ შიდა პაკეტისთვის ამ დაკვირვების წერტილში, და არა როგორც VPN პაკეტების ზოგადი თვისება.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum