VPN пакетінде қанша бақылау сомасы бар? Ол тәуелді

VPN пакеті дәл екі бақылау сомасын тасымалдайды деген тұжырым ұқыпты естіледі және оны бөлшектеуге тұрарлықтай жиі қате. Сан қай IP нұсқалары пайда болатынына, қай тасымалдау протоколы тасымалданатынына және туннельдің қай қорғаныс форматын қолданатынына байланысты. Тақырып бақылау сомасы, жоғарғы қабаттың бақылау сомасы және криптографиялық тұтастық тегі үш ауқымды үш механизм. Оларды санау әрқайсысы нені қамтитынын белгілеуден басталады.

Желіде шын мәнінде қандай IP нұсқалары бар екенін тексеріңіз

IPv4 тақырыптары 16 биттік тақырып бақылау сомасын тасымалдайды, ал IPv6 тақырыптары мұндайды тасымалдамайды. Осы бір факт әрбір туннель үшін санды өзгертеді, өйткені IPv4-ті IPv6 ішіне және IPv6-ны IPv4 ішіне орау әртүрлі құжаттар жасайды. Туннель екі отбасын бір уақытта тасымалдай алады, бұл жағдайда бір бағытта екіншісінде жоқ өріс болуы мүмкін. Бірдеңе санамас бұрын нұсқаларды анықтаңыз.

Орналасуды сурет емес, тақырыптар тізімі ретінде жазыңыз. Түсірілімді оқығанда рет маңызды, ал бақылау сомасы өрісінің болуы немесе болмауы бірінші белгіленетін нәрсе.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Бірінші жолдың IP тақырыптарының еш жерінде IP тақырып бақылау сомасы жоқ, ал екіншісінде екі тақырып та IPv4 болғанда екеуі бар. Бірдей туннель технологиясы, басқа сан, және екі жолдың ешқайсысы толық желі форматы емес.

Әр бақылау сомасы нені қамтитынын тексеріңіз

Қамту адамдар өткізіп жіберетін бөлік, және санды мәнді ететін де сол. IPv4 тақырып бақылау сомасы тақырыпты қорғайды және басқа ештеңені, сондықтан оның артындағы пайдалы жүк туралы ештеңе айтпайды. IPv6 үстіндегі UDP бақылау сомасы жалған тақырыпты, сондай-ақ UDP тақырыбы мен жүгін қамтиды, яғни дейтаграмма туннельге салынғанда тасымалданатын пакеттің ішіне жетеді. TCP-нің жалған тақырыпқа ұқсас тәуелділігі бар өз бақылау сомасы бар. Бұлар үш түрлі ауқым, дегенмен үшеуі де бақылау сомасы деп аталады.

RFC 791 IPv4 тақырыбын тексеруді және оның әрбір секірісте қайта есептелуін анықтайды, ал RFC 8200 IPv6 үстіндегі жоғарғы қабатты өңдеуді, оның ішінде жалған тақырыпты анықтайды. Екі құжаттың ешқайсысы VPN пакетінде бақылау сомаларының тұрақты саны бар деп айтпайды, өйткені ешқайсысы туннельді сипаттамайды.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Тұтастық қорғанысын бөлек тексеріңіз

ESP тұтастығы өз қамтуы және алгоритмге тәуелді көрінісі бар криптографиялық қорғаныс. Ол басқа атаумен IP немесе UDP бақылау сомасы емес, және ұзындығы таңдалған құрылымға қарай өзгереді. Тұтастық тексерісі пакеттің белгіленген бөлігін қамтиды, ол қолданылатын режимге қарай ESP тақырыбын және жүктің бір бөлігін қамтуы мүмкін. Оны белгілі ені бар бақылау сомасы өрісі ретінде санау осы түсіндірмелердің көбісі тарап кететін жер.

Байттарды санамас бұрын таңдалған құрылымды оқып шығыңыз және нәтижені басқа белгісі бар бақылау сомасы емес, тұтастық қорғанысы ретінде сипаттаңыз. Сұрасаңыз, декодер өрісті өзі атайды.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Санамас бұрын бақылау нүктесін тексеріңіз

Ішкі интерфейстегі түсірілім мен желідегі түсірілім мүлдем басқа қабаттарды көрсетуі мүмкін. Ішкі интерфейсте туннель әлдеқашан алынып тасталған, сондықтан тасымалданатын пакетті көресіз және сыртқы тақырыптардың ешқайсысын көрмейсіз. Желіде сыртқы тақырыптарды және оқи алмайтын шифрланған жүкті көресіз. Екі көріністің ешқайсысы қате емес, және олар бір нысанның көріністері емес. Қандай да бір санды келтірмес бұрын түсірілімнің қайда алынғанын айтыңыз.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Бірінші пәрмен сыртқы пакетті оның тұтастық трейлерімен көрсетеді, ал екіншісі тасымалданатын пакетті өз тасымал бақылау сомасымен көрсетеді. Екі түсірілімнің сандарын қосу ештеңені екі рет санамайды, бірақ бір пакетті екі рет түсіндіреді.

Санды нақты түсіріліммен салыстырыңыз

Бір пакетті толық декодтап, декодер бақылау сомасы немесе тұтастық мәні деп атайтын әрбір өрісті белгілеңіз. Содан кейін әр белгіні өзіңіз жазған орналасумен салыстырыңыз және шын мәнінде санамайтын қабатқа жататындарын жойыңыз. Осы жаттығудан аман қалған сан дәлелді, ал естеліктен келтірілген сан олай емес.

Жауап бағыты үшін қайталаңыз, өйткені екі отбасын тасымалдайтын туннель бағыт пен ағын бойынша ерекшеленуі мүмкін. Содан кейін санды оның ауқымымен айтыңыз, мысалы осы бақылау нүктесіндегі осы ішкі пакет үшін үш бақылау сомасы, жалпы VPN пакеттерінің қасиеті ретінде емес.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum