ESP келди, бирок эч нерсе шифрден чыгарылган жокпу? Кирүү этаптарын ээрчиңиз

Брандмауэрдин шифрлөө эсептегичи өсүп, туннель эч нерсе жеткирбегенде, катышуу эрежесин кеңейтүү инстинкти пайда болот. Бул инстинкт кабыл алуучунун өз текшерүү тартибин аттап өтөт. Кирүүчү ESP пакети бир нече этаптан өтөт жана ар бири пакеттин өмүрүн башка себептен бүтүрүшү мүмкүн: туура келген ассоциация жок, кайталоо же бүтүндүк катасы, же ички пакет жакшы, бирок андан ары уруксат жок. Ийгиликсиз этапты атоо IPsec бузулду деген бүдөмүк сүйлөмдү так эсептегичке жана так оңдоого айландырат.

Келүү бир байкоо, үч эмес

ESP шлюзга жеткенин көрсөткөн тышкы жазуу тышкы пакеттин келгенин гана далилдейт. Кабыл алуу кабыл алуучу ассоциацияны таап, пакетти текшергенин билдирет. Жеткирүү калыбына келтирилген ички пакет өз максатына багытталып, жооп алганын билдирет. Булар өзүнчө натыйжалар жана аларды бириктирген панель дал сизге керектүү маалыматты жашырат.

Ушул эле айырмачылык кеңири таралган отчётту түшүндүрөт: бир тараптын шифрлөө эсептегичи өсөт, экинчиси пайдалуу шифрден чыгарылган трафик тууралуу билдирбейт. Эки билдирүү тең бир убакта туура болушу мүмкүн, анткени алар бир аракеттин ар башка этаптарын сүрөттөйт.

Ассоциацияны издөө шифрден чыгарууга чейин жүрөт

Кабыл алуучу керек болсо фрагменттерди кайра чогултат, анан пакеттин коопсуздук ассоциациясын табат. Жөнөкөй unicast учурунда аны SPI жана максат тандайт. Жарактуу ассоциация жок болсо, андан ары иштетүү болбойт, ошондуктан эскирген же туура келбеген SPI колдонмого көрүнгөн катанын ордуна үнсүздүк жаратат.

Ассоциациялар багыттуу жана ачкычтарды жаңыртуу учурунда өзгөрүшү мүмкүн, ошондуктан кабыл алуучу тарапты, SPI жана убакыт белгисин азыркы деп эсептеген кирүүчү ассоциациянын жанына жазып коюңуз. Көрсөтүлгөн чыгуучу ассоциация же соо IKE мамилеси ушул пакетти кабыл алышы керек болгон ассоциацияны алмаштырбайт.

Кайталоо жана бүтүндүк текшерүүлөрү жүктөм пайда боло электе эле четке кагат

Ассоциация табылгандан кийин кабыл алуучу анын көрсөткөн алгоритмдерин колдонот. Эгер кайталоодон коргоо күйгүзүлгөн болсо, терезеден тышкары ырааттуулук номери четке кагылат. Бүтүндүк текшерүүсүнүн ийгиликсиздиги да иштетүүнү бүтүрөт, анткени ICV кабыл алынган пакетке дал келбейт. Эч бир учур шифрден чыгарылган ички пакетти жаратпайт, ошондуктан эч нерсе маршруттоого, саясатка же колдонмого жетпейт.

Бул абалдар үчүн ишке ашыруунун документтелген каталарын жана эсептегичтерин колдонуңуз, ар бир кабыл алуу ийгиликсиздигин катышуу тизмесинин баш тартуусу деп эсептөөнүн ордуна. Трафик көрүнүшү үчүн бүтүндүктү же кайталоодон коргоону өчүрүү кирүүчү пакеттин мыйзамдуу болгонун далилдебейт; ал чындыкты айтып турган текшерүүнү алып салат.

UDP 4500 порту контейнер, өкүм эмес

NAT аркылуу өтүү ESP-ни UDP ичинде алып жүрөт, ошол эле порт IKE жана туташууну сактоо билдирүүлөрүн да алып жүрөт. Ошондуктан 4500дөгү активдүүлүк бир нерсе портту колдонуп жатканын билдирет, колдонмо ESP пакетин жаратканын эмес. Жүктөмдү маалымат трафигине таандык кылбастан мурун классификациялаңыз.

Бул жазуу жалгыз далил болгондо маанилүү. Убагында келген туташууну сактоо билдирүүсү өлүк туннелди тирүү көрсөтүшү мүмкүн, ал эми IKE билдирүүсү жазууну маалымат жолу чындыгында болгондон да бош эмес көрсөтө алат.

Маршруттоо жана саясат тек чыгарып алгандан кийин колдонулат

Шифрден чыгаруу ийгиликтүү болсо, калыбына келтирилген ички пакет кадимки жолго түшөт: саясат текшерүүлөрү, маршруттоо, жөнөтүү эрежелери жана максаттуу хост. Пакет бардык коопсуздук текшерүүлөрүнөн өтүп, дагы эле ушул жерден ташталышы мүмкүн, жана жооп жолу да болушу керек. Бул ийгиликсиздик жөнөтүүгө таандык, ESP-ге эмес.

Эсептегичтерди алардын документтелген этабына байлап кармаңыз. Интерфейстик кабыл алуу, кабыл алынган ESP, шифрден чыгарылган байттар жана жөнөтүлгөн ички пакеттер бирдей сан болушу шарт эмес, айрыкча ылдамдатылган жол маалымат тегиздигин башкарып, башкаруу тегиздиги өзүнчө отчёт бергенде. Жалпы панелдин белгиси эки эсептегич бир маанини билдирет деген далил эмес.

Бир жаңы уруксат берилген операция үчүн акыркы тастыкталган чекти жана биринчи тиешелүү катаны сактаңыз. Бул жуп кийинки администраторго эмнени изилдөө керектигин айтат: транспорт жеткирүүнү, ассоциация менен бүтүндүктү же кадимки ички жөнөтүүнү, жана санды жылдыруу үчүн ар бир эрежени уруксат берүүчү кылуу деген кадимки оңдоодон сактайт.