ESP жетті, бірақ ештеңе шифрдан шығарылмады ма? Кіріс кезеңдерін қадағалаңыз

Брандмауэрдің шифрлау санауышы өсіп, туннель ештеңе жеткізбегенде, қатынау ережесін кеңейту инстинкті пайда болады. Бұл инстинкт қабылдағыштың өз тексеру ретін айналып өтеді. Кіріс ESP пакеті бірнеше кезеңнен өтеді және әрқайсысы пакеттің өмірін түрлі себеппен аяқтай алады: сәйкес ассоциация жоқ, қайталау немесе тұтастық қатесі, немесе ішкі пакет дұрыс, бірақ әрі қарай рұқсат етілмейді. Сәтсіз кезеңді атау IPsec бұзылды деген бұлыңғыр тұжырымды нақты санауышқа және нақты түзетуге айналдырады.

Келу — бір бақылау, үш емес

ESP шлюзге жеткенін көрсететін сыртқы жазба тек сыртқы пакеттің келгенін дәлелдейді. Қабылдау қабылдағыштың ассоциацияны тауып, пакетті тексергенін білдіреді. Жеткізу қалпына келтірілген ішкі пакеттің мақсатына бағытталып, оған жауап берілгенін білдіреді. Бұлар бөлек нәтижелер және оларды біріктіретін панель дәл сізге қажет ақпаратты жасырады.

Дәл осы айырмашылық жиі кездесетін есепті түсіндіреді: бір жақтың шифрлау санауышы өседі, ал екіншісі пайдалы шифрдан шығарылған трафик туралы хабарламайды. Екі тұжырым да бір уақытта ақиқат болуы мүмкін, өйткені олар бір әрекеттің әртүрлі кезеңдерін сипаттайды.

Ассоциацияны іздеу шифрдан шығаруға дейін жүреді

Қабылдағыш қажет болса фрагменттерді қайта жинайды, содан кейін пакеттің қауіпсіздік ассоциациясын табады. Қарапайым unicast кезінде оны SPI мен мақсат таңдайды. Жарамды ассоциация болмаса, әрі қарай өңдеу болмайды, сондықтан ескірген немесе сәйкес емес SPI қолданбаға көрінетін қате орнына үнсіздік тудырады.

Ассоциациялар бағытты және кілттерді жаңарту кезінде өзгеруі мүмкін, сондықтан қабылдаушы жақты, SPI мен уақыт белгісін ағымдағы деп санайтын кіріс ассоциациясының қасына жазып қойыңыз. Көрсетілген шығыс ассоциациясы немесе сау IKE қатынасы осы пакетті қабылдауға тиіс ассоциацияны алмастырмайды.

Қайталау және тұтастық тексерулері жүктеме пайда болмай тұрып қабылдамайды

Ассоциация табылған соң қабылдағыш оның белгілеген алгоритмдерін қолданады. Егер қайталаудан қорғау қосылған болса, терезе сыртындағы реттік нөмір қабылданбайды. Тұтастық тексеруінің сәтсіздігі де өңдеуді тоқтатады, өйткені ICV қабылданған пакетке сай келмейді. Ешбір жағдай шифрдан шығарылған ішкі пакет тудырмайды, сондықтан ештеңе маршруттауға, саясатқа немесе қолданбаға жетпейді.

Бұл күйлер үшін іске асырудың құжатталған қателері мен санауыштарын пайдаланыңыз, әрбір қабылдау сәтсіздігін қатынау тізімінің бас тартуы деп санаудың орнына. Трафик көрінуі үшін тұтастықты немесе қайталаудан қорғауды өшіру кіріс пакеттің заңды болғанын дәлелдемейді; ол шындықты айтып тұрған тексеруді алып тастайды.

UDP 4500 порты — контейнер, үкім емес

NAT арқылы өту ESP-ні UDP ішінде тасымалдайды, сол порт IKE және қосылымды сақтау хабарламаларын да тасымалдайды. Сондықтан 4500-дегі белсенділік бірдеңе портты қолданып жатқанын білдіреді, қолданба ESP пакетін жасағанын емес. Жүктемені деректер трафигіне жатқызбас бұрын жіктеңіз.

Бұл жазба жалғыз дәлел болғанда маңызды. Уақытында келген қосылымды сақтау хабары өлі туннельді тірі көрсетуі мүмкін, ал IKE хабары жазбаны деректер жолы шын мәнінде болғанынан да бос емес көрсете алады.

Маршруттау мен саясат тек шығарып алудан кейін қолданылады

Шифрдан шығару сәтті болса, қалпына келтірілген ішкі пакет қалыпты жолға түседі: саясат тексерулері, маршруттау, жіберу ережелері және мақсатты хост. Пакет барлық қауіпсіздік тексерулерінен өтіп, осында тасталуы мүмкін, ал жауап жолы да болуы керек. Бұл сәтсіздік жіберуге жатады, ESP-ге емес.

Санауыштарды құжатталған кезеңіне байлап ұстаңыз. Интерфейстік қабылдау, қабылданған ESP, шифрдан шығарылған байттар және жіберілген ішкі пакеттер бірдей сан болуы міндетті емес, әсіресе жеделдетілген жол деректер жазықтығын басқарып, басқару жазықтығы бөлек есеп бергенде. Жалпы панель белгісі екі санауыштың бір мағынаны білдіретінінің дәлелі емес.

Бір жаңа рұқсат етілген операция үшін соңғы расталған шекараны және бірінші тиісті қатені сақтаңыз. Бұл жұп келесі әкімшіге нені зерттеу керегін айтады: тасымал жеткізуін, ассоциация мен тұтастықты әлде қарапайым ішкі жіберуді, және санды жылжыту үшін әр ережені рұқсат етуші ету деген әдеттегі түзетуден сақтайды.