გამავალი ESP პასუხის გარეშე არ ნიშნავს, რომ VPN მკვდარია
ESP იცავს ერთ მიმართულებას ასოციაციაზე და არაფერს ადასტურებს. შეადარეთ შიდა საუბარი და შემავალი SA, სანამ სერვერს უპასუხოს უწოდებთ.
თქვენ აიღეთ ტრაფიკი IPsec ჰოსტზე, დაინახეთ ESP პაკეტების გასვლა, ვერ დაინახეთ არაფერი დაბრუნებული და დაასკვნეთ, რომ შორეული მხარე გაფუჭებულია. ჩანაწერი ამ დასკვნას არ ემხრობა. ESP იცავს საუბრის ერთ მიმართულებას და IP დონეზე არაფერს ადასტურებს, ამიტომ დაბრუნებული ESP-ის არარსებობა ისევე ადვილად შეიძლება ნიშნავდეს, რომ აპლიკაციას სათქმელი არაფერი ჰქონდა, როგორც იმას, რომ გვირაბი მკვდარია. წაიკითხეთ შიდა გაცვლა და მიმღები მხარის მდგომარეობა, სანამ რომელიმე მხარეს დაადანაშაულებთ.
მითი: ყოველი დაცული პაკეტი პასუხს იმსახურებს
ESP არ არის მოთხოვნა-პასუხის პროტოკოლი. ის შიფრავს და ავთენტიფიცირებს ყველაფერს, რასაც პოლიტიკა ირჩევს, ხოლო მიმღები ამოწმებს, გაშიფრავს და აწვდის ამ შიდა პაკეტს საკუთარი პაკეტის შექმნის გარეშე. UDP მოთხოვნა, რომელსაც დანიშნულება უგულებელყოფს, ან ICMP გამოძახილი, რომელსაც შემავალი პოლიტიკა უგდებს, ქმნის სიჩუმეს ორივე მიმართულებით, როგორც სწორ შედეგს. ამ სიჩუმის ტრანსპორტის ხარვეზად მიჩნევა გაგზავნით ისეთი ქსელური ხარვეზის საძებნად, რომელიც არასდროს ყოფილა.
რასაც ერთმხრივი ჩანაწერი რეალურად ამტკიცებს, არის ის, რომ გამომგზავნის სტეკმა რაღაც და შიფრა ამ დაკვირვების წერტილში. არაფერი ჩამოსვლაზე და არაფერი პასუხის გაცემის განზრახვაზე. სასარგებლო კითხვა არ არის "რატომ არ არის პასუხი", არამედ "რა უნდა წარმოექმნა შიდა საუბარს".
ორი SA, ორი SPI, ერთი საუბარი
IPsec უსაფრთხოების ასოციაციები ერთმიმართულებიანია, ამიტომ ჩვეულებრივი დაცული გაცვლა მოიცავს შემავალ და გამავალ ასოციაციას ცალკეული იდენტიფიკატორებითა და დამოუკიდებელი მდგომარეობით. გამავალი პაკეტის SPI-ით დაბრუნებული ტრაფიკის ძებნა ამიტომ კატეგორიის შეცდომაა, რადგან ყოველი პასუხი მიდის პარტნიორის საკუთარი გამავალი SA-ის ქვეშ, მისივე SPI-ით. ნაცვლად ამისა, შეადარეთ წყვილი ტრაფიკის სელექტორებით და პარტნიორის მისამართებით.
გასაღების განახლება ართულებს სურათს რამდენიმე წამით, ვინაიდან ძველი და შემცვლელი მდგომარეობა შეიძლება გადაიფაროს. თუ სიმპტომი გასაღების განახლების ირგვლივ დაიწყო, შეაგროვეთ ასოციაციის იდენტიფიკატორები და დროის ნიშნები ერთად, და არა მხოლოდ კავშირის სახელი.
რა უნდა გააკეთოს მიმღებმა, სანამ რამე უპასუხებს
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
ყოველი მწკრივი დამოუკიდებლად ფუჭდება და ყოველ ხარვეზს განსხვავებული მფლობელი ჰყავს, ამიტომ ერთი ჩანაწერი მათ ვერ განასხვავებს. შემავალი მრიცხველი ჩამოსვლის ერთადერთი პირდაპირი მტკიცებულებაა, ვინაიდან პაკეტი, რომელიც ავთენტიფიკაციაში ან გამეორების შემოწმებაში ფუჭდება, ყოველგვარი პასუხის გარეშე იშლება. პარტნიორი, რომლის შემავალი მრიცხველიც არ გაძვრა, შესაბამისად არაფერს გითხრათ თავის პოლიტიკაზე.
მიწოდება გაშიფვრისგან ცალკე ნაბიჯია. მდგომარეობა შეიძლება ძალაში იყოს და პაკეტი მაინც მოგვიანებით გადააგდოს შემავალმა პოლიტიკამ ან მარშრუტმა, რომელიც შიდა დანიშნულებას არ მოიცავს, ამიტომ შეამოწმეთ, დაინახა თუ არა სამიზნე ჰოსტმა ღია ტექსტი, ნაცვლად იმისა, რომ ჩათვალოთ, თითქოს სუფთა მრიცხველი ნიშნავს, რომ პაკეტი იქ წავიდა, სადაც გსურდათ.
მშობლიური ESP არ არის UDP
მშობლიური ESP არის IP პროტოკოლი 50, რომელიც არც TCP არის და არც UDP და საერთოდ არ აქვს პორტები. ამიტომ UDP 500-ზე IKE-ის დამშვები ფაირვოლის წესი არაფერს ამბობს მონაცემთა გზაზე, და პორტების გარშემო დაწერილი ფილტრი შეიძლება გვირაბს მოლაპარაკების საშუალება მისცეს და შემდეგ გადააგდოს ყველაფერი, რაც მის შიგნით გადაიტანება. გამოსცადეთ მონაცემთა გზა ცალკე, იმ რეჟიმში, რომელიც რეალურად დააკვირდით.
NAT-ის უკან ფორმა იცვლება: დაცული დატვირთვა მოძრაობს UDP-ის შიგნით, ჩვეულებრივ 4500 პორტზე, როგორც განსაზღვრავს RFC 3948. ჩაწერეთ აქტიური რეჟიმი ნებისმიერი წესის დაწერამდე, ვინაიდან გზაზე მდებარე მოწყობილობამ შეიძლება მშობლიურ ESP-ს და UDP-ში შეფუთულ ESP-ს სრულიად განსხვავებულად მოეპყრას, და ზოგიერთი შუალედური ყუთი ერთს უშვებს და მეორეს უგდებს.
წაიკითხეთ მრიცხველები, რომლებიც ამ შემთხვევას ეკუთვნის
strongSwan ჰოსტზე swanctl --list-sas იუწყებს პაკეტებისა და ბაიტების მრიცხველებს თითოეულ ასოციაციაზე ორივე მიმართულებით, რაც საკმარისია, რომ განასხვაოთ "არასდროს ჩამოვიდა" და "ჩამოვიდა და არ უპასუხეს". Linux-ზე /proc/net/xfrm_stat ითვლის გაერთიანებულ ხარვეზებს, როგორიცაა დაკარგული მდგომარეობა, დაკარგული პოლიტიკა და პროტოკოლის შეცდომები. ეს ჯამები გროვდება ჩართვიდან და ეკუთვნის ერთ ქსელურ სახელთა სივრცეს, ამიტომ დიდი რიცხვი ჯერ არ არის მიკუთვნება.
აიღეთ ორი წაკითხვა შემთხვევის ფანჯრის ირგვლივ სწორ სახელთა სივრცეში და შეადარეთ სხვაობები, თორემ გასული კვირის შეცდომებს დაუკრავთ დღევანდელი შუადღის ბილეთს. ჩაწერეთ სახელთა სივრცე და ორივე დროის ნიშანი ბილეთში, რომ მომდევნო მკითხველმა შეძლოს შედარების გამეორება, ჯამის ნდობის ნაცვლად.
დაასახელეთ ეტაპი და არა ეჭვმიტანილი
სასარგებლო დასკვნა ამბობს, სად გაჩერდა პაკეტი: არასდროს მიღებულა, მიღებულა და გადაგდებულა, მიწოდებულა მაგრამ უპასუხოდ დარჩა, ან უპასუხეს და დაიკარგა დაბრუნების გზაზე. თითოეული მათგანი მიუთითებს სხვა მფლობელზე და სხვა შემდეგ ბრძანებაზე. "VPN სერვერიდან პასუხი არ არის" ოთხ განსხვავებულ ხარვეზს აჭერს ერთ წინადადებაში, რომელიც ჩანაწერს არასდროს გაუმართლებია.
შეინახეთ ჩანაწერები ვიწრო და ნედლი ბირთვის მდგომარეობა ბილეთების გარეთ, ვინაიდან მას შეიძლება გასაღების მასალა ეტაროს, რომელსაც ჰოსტის გარეთ საქმე არ აქვს. მრიცხველების სხვაობები და დროის ნიშნები ის ნაწილებია, რომლებიც ღირს შემდეგ ადამიანს გადაეცეს.