ESP는 도착했는데 아무것도 복호화되지 않았나요? 인바운드 단계를 따라가세요

방화벽의 암호화 카운터가 올라가는데 터널이 아무것도 전달하지 못할 때, 액세스 규칙을 넓히고 싶어집니다. 그러나 그 판단은 수신 측 자체의 점검 순서를 건너뜁니다. 인바운드 ESP 패킷은 여러 단계를 거치며, 각 단계는 서로 다른 이유로 패킷의 생명을 끝낼 수 있습니다. 일치하는 연결이 없는 경우, 재전송이나 무결성 검사가 실패한 경우, 또는 내부 패킷은 정상이지만 더 나아가는 것이 허용되지 않은 경우입니다. 실패한 단계에 이름을 붙이면 IPsec이 고장 났다는 막연한 말이 특정 카운터와 특정 수정으로 바뀝니다.

도착은 하나의 관찰이며 셋이 아닙니다

ESP가 게이트웨이에 도달하는 것을 보여 주는 외부 캡처는 바깥 패킷이 도착했다는 것만 증명합니다. 수락은 수신 측이 연결을 찾아 패킷을 검증했다는 뜻입니다. 전달은 복원된 내부 패킷이 목적지로 라우팅되어 응답을 받았다는 뜻입니다. 이들은 서로 다른 결과이며, 이들을 합쳐 보여 주는 대시보드는 필요한 정보를 정확히 감춥니다.

같은 구분이 흔한 보고를 설명합니다: 한쪽의 암호화 카운터는 올라가는데 다른 쪽은 유용한 복호화 트래픽을 보고하지 않는다. 두 진술은 동시에 참일 수 있습니다. 같은 시도의 서로 다른 단계를 설명하기 때문입니다.

연결 조회는 복호화보다 먼저 일어납니다

수신 측은 필요하면 단편을 재조립한 뒤 패킷의 보안 연결을 찾습니다. 일반 유니캐스트에서는 SPI와 목적지가 그것을 고릅니다. 유효한 연결이 없으면 더 이상의 처리가 없으며, 그래서 오래되었거나 맞지 않는 SPI는 애플리케이션이 볼 수 있는 오류 대신 침묵을 만듭니다.

연결은 방향이 있으며 키 갱신 중에 바뀔 수 있으므로, 현재라고 생각하는 인바운드 연결 옆에 수신 피어, SPI, 타임스탬프를 기록하십시오. 표시된 아웃바운드 연결이나 건강한 IKE 관계는 이 패킷을 받아야 할 연결을 대신하지 못합니다.

재전송과 무결성 검사는 페이로드가 존재하기 전에 거부합니다

연결이 발견되면 수신 측은 그 연결이 지정한 알고리즘을 적용합니다. 재전송 방지가 켜져 있으면 윈도 밖의 시퀀스 번호는 거부됩니다. 무결성 검사 실패도 처리를 끝냅니다. 수신된 그대로의 패킷과 ICV가 일치하지 않기 때문입니다. 어느 경우에도 복호화된 내부 패킷은 생기지 않으므로 라우팅, 정책, 애플리케이션에는 아무것도 도달하지 않습니다.

이런 상태에는 구현이 문서화한 오류와 카운터를 사용하고, 모든 수신 실패를 액세스 목록 거부로 취급하지 마십시오. 트래픽을 보이게 하려고 무결성이나 재전송 방지를 끄는 것은 들어온 패킷이 정당했다는 증거가 아닙니다. 진실을 알려 주던 검사를 없애는 것입니다.

UDP 포트 4500은 용기이지 판결이 아닙니다

NAT 통과는 ESP를 UDP 안에 넣어 나르고, 같은 포트는 IKE와 연결 유지 메시지도 나릅니다. 따라서 4500의 활동은 무언가가 포트를 쓰고 있다는 뜻이며, 애플리케이션이 ESP 패킷을 만들었다는 뜻이 아닙니다. 데이터 트래픽으로 돌리기 전에 페이로드를 분류하십시오.

캡처가 유일한 증거일 때 이것이 중요합니다. 제때 도착하는 연결 유지 메시지는 죽은 터널을 살아 있는 것처럼 보이게 하고, IKE 메시지는 캡처를 실제 데이터 경로보다 더 분주해 보이게 할 수 있습니다.

추출된 뒤에야 라우팅과 정책이 적용됩니다

복호화가 성공하면 복원된 내부 패킷은 정상 경로로 들어갑니다. 정책 검사, 라우팅, 전달 규칙, 목적지 호스트입니다. 패킷은 모든 보안 검사를 통과하고도 여기서 버려질 수 있으며, 응답 경로도 존재해야 합니다. 그 실패는 ESP가 아니라 전달에 속합니다.

카운터를 문서화된 단계에 묶어 두십시오. 인터페이스 수신, 수락된 ESP, 복호화된 바이트, 전달된 내부 패킷은 같은 숫자일 필요가 없습니다. 특히 가속 경로가 데이터 평면을 맡고 제어 평면이 따로 보고할 때 그렇습니다. 일반적인 대시보드 라벨은 두 카운터가 같은 뜻이라는 증거가 아닙니다.

새로 승인된 작업 하나에 대해서는 마지막으로 확인된 경계와 첫 번째 관련 오류를 남기십시오. 그 짝은 다음 관리자에게 전송 전달, 연결과 무결성, 아니면 일반 내부 전달 중 무엇을 조사할지 알려 주며, 숫자를 움직이려고 모든 규칙을 느슨하게 만드는 흔한 수정을 피하게 합니다.