ESP дұрыс шифрын ашады, бірақ ішкі пакет әлі ешқайда бармайды

ESP қабылдау санауышы өседі, туннель тұрады, ал қолданба пакетті ешқашан көрмейді. Шифрды ашу орындалды, тұтастық тексеруі өтті, содан кейін қабылдаушы қорғалған пайдалы жүктеменің шын мәнінде не екенін шешуге тиіс болды. Пішім сәйкессіздігі дәл осы соңғы қадамда пайда болады, ал сырттан қарағанда ол файрвол мәселесіне мүлдем ұқсамайды.

Ярлық өтірік айтқанда не көресіз

Клиент журналында мұны маршруттау қара құрдымынан ажырататын ештеңе жоқ. Екеуі де сау туннель жанында қолданбаның уақыт шегіне шығуын тудырады, сондықтан алдымен санауыштар кінәланады.

Өсіп келе жатқан қабылдау санауышы шынымен жақсы жаңалық: пакеттер келеді және аутентификациядан өтеді. Бірақ бұл ішкі пакеттің крипто қабатынан жоғары бірдеңе үшін мағыналы болғанына дәлел емес.

Түрі трейлерде тұрады

Кәдімгі IPsec туннель режимінде ESP қорғайтын пайдалы жүктеме толық ішкі IP пакетін қамтиды. Трейлердегі келесі тақырып өрісі бұл жүктеменің не екенін анықтайды, және ол TCP порты емес, сыртқы тақырыптағы протокол нөмірі емес, бастапқы SPI мен реттік нөмір өрісінің бөлігі де емес. RFC 4303 2.6-бөлім оны жүктеме түрінің өрісі ретінде анықтайды, бұл нақты жұмысқа нақты атау.

Кездесетін мәндер шағын және есте сақтауға тұрарлық: IPv4 дегеніміз 4 (0x04), IPv6 дегеніміз 41 (0x29).

Бұл сандар жергілікті дәстүрден емес, IANA протокол нөмірлерін бөлуден келеді. IPv4 деп жариялап, бірақ IPv6 пакетін орап жіберген жіберуші пішім сәйкессіздігін тудырды, ал өз ярлығына қайшы келетін байттарды ешбір файрвол ережесі түзетпейді.

Оны әдеттегі күдіктілерден қалай ажыратуға болады

Жоғалған пакеттердің көбісі кодтау ақаулары емес. Алдымен селекторларды тексеріңіз, өйткені IPv6 префиксін шығарып тастайтын трафик селекторы кез келген нәрсе инкапсуляцияланбай тұрып трафикті тастайды. Содан кейін маршруттауды, одан кейін қабылдаушы хосттағы жергілікті сүзгілеуді тексеріңіз. Осыларды жоққа шығарғаннан кейін ғана жүктеме пішімінің сәйкессіздігі сенімді түсініктемеге айналады.

Шифрланған жазба мұны шешпейді, өйткені қорғалған келесі тақырып шифрланған жүктеменің ішінде жатыр. Сізге іске асыру диагностикасы немесе қолдау көрсетілетін шифры ашылған бақылау нүктесі қажет, екеуі де пайдалану алдында рұқсат талап етеді.

Егер ешкім бұл дәлелді ұсына алмаса, сізде пішім ақауы жоқ. Сізде теория бар, ал селекторлар әлі де жақсырақ болжам.

Жөндеу не емес

Трафик өтуі үшін тұтастық тексерулерін өшірмеңіз. Шифрланған пакеттерді аралық маршрутизаторда қайта жазбаңыз, өйткені бұл жұмыс істей алмайды және жазбада пайдалы болып көрінсе де ағынды бүлдіреді. Порт бұғатталды деген теориямен қолданбаның кеңірек файрвол ережесін ашпаңыз. Олардың ешқайсысы ярлық сәйкессіздігіне тимейді.

Егер расталған сәйкессіздік серіктес іске асырудан келсе, ең аз тазартылған қайта өндіруді сақтап, оны сол іске асырудың қолдау көрсетілетін арнасына апарыңыз.

Ағынды тексеріңіз, санауышты емес

Түзетуден кейін нақты IPv6 ағынын бастан аяқ тексеріңіз: туннель арқылы қолданба сұранысы, оның жауабы және әр жақ көретін мекенжай жұбы. Өсіп келе жатқан ESP санауышы пакеттердің қабылданып, аутентификацияланып жатқанын ғана дәлелдейді. Ол ішкі пакеттің пайдалануға жарамды болғаны туралы ештеңе айтпайды.

Екі нәтижені де билетке жазыңыз. Санауыштың қозғалысы мен жұмыс істейтін ағын жөндеу; тек санауыштың қозғалысы бастамас бұрын болған нәрсенің дәл өзі.