ESP туура чечмелейт, бирок ички пакет дагы эле эч жакка барбайт
Колдонмо эч нерсе көрбөсө да ESP эсептегичтери өсүп жатат. Трейлердеги кийинки аталыш ички пакетке дал келиши керек, бул селекторду өткөрүп жиберүүдөн башка мүчүлүштүк.
ESP кабыл алуу эсептегичи өсүп, туннель турган бойдон калат, ал эми колдонмо пакетти эч качан көрбөйт. Чечмелөө аткарылды, бүтүндүк текшерүү өттү, анан кабыл алуучу корголгон пайдалуу жүктүн чындыгында эмне экенин чечиши керек болду. Форматтын дал келбестиги дал ушул акыркы кадамда пайда болот, ал эми сырттан караганда ал файрвол маселесине такыр окшошпойт.
Этикетка жалган айтканда эмнени көрөсүз
Кардар журналында муну маршруттоонун кара көңдөйүнөн ажырата турган эч нерсе жок. Экөө тең соо туннелдин жанында колдонмонун убакыт бүтүшүн пайда кылат, ошондуктан эң оболу эсептегичтер күнөөлөнөт.
Өсүп жаткан кабыл алуу эсептегичи чынында эле жакшы кабар: пакеттер келип, аутентификациядан өтүп жатат. Бирок бул ички пакет крипто катмарынан жогору бир нерсе үчүн маанилүү болгонуна далил эмес.
Түрү трейлерде жашайт
Кадимки IPsec туннель режиминде ESP коргогон пайдалуу жүк толук ички IP пакетин камтыйт. Трейлердеги кийинки аталыш талаасы бул жүктүн эмне экенин аныктайт, ал эми ал TCP порту эмес, сырткы аталыштагы протокол номери эмес жана баштапкы SPI менен ырааттуулук номери талаасынын бөлүгү да эмес. RFC 4303 2.6-бөлүм аны жүк түрүнүн талаасы катары аныктайт, бул так ишке так ат.
Жолуга турган маанилер кичине жана эстеп калууга татыктуу: IPv4 дегени 4 (0x04), IPv6 дегени 41 (0x29).
Бул сандар жергиликтүү салттан эмес, IANA протокол номерлерин бөлүштүрүүдөн келет. IPv4 деп жарыялап, бирок IPv6 пакетин ороп жаткан жөнөтүүчү форматтын дал келбестигин жаратты, ал эми өз этикеткасына каршы келген байттарды эч бир файрвол эрежеси оңдобойт.
Аны кадимки шектүүлөрдөн кантип ажыратуу керек
Жоголгон пакеттердин көбү коддоо кемчиликтери эмес. Алгач селекторлорду текшериңиз, анткени IPv6 префиксин четтеткен трафик селектору эч нерсе инкапсуляцияланганга чейин трафикти таштайт. Анан маршруттоону, анан кабыл алуучу хосттогу жергиликтүү чыпкалоону текшериңиз. Ушулар четтетилгенден кийин гана жүк форматынын дал келбестиги ишенимдүү түшүндүрмө болот.
Шифрленген жазуу муну чечпейт, анткени корголгон кийинки аталыш шифрленген жүктүн ичинде жатат. Сизге ишке ашыруу диагностикасы же колдоого алынган чечмеленген байкоо чекити керек, экөө тең колдонуудан мурун уруксат талап кылат.
Эгер эч ким бул далилди бере албаса, сизде формат мүчүлүштүгү жок. Сизде теория бар, ал эми селекторлор дагы эле жакшыраак божомол.
Оңдоо эмне эмес
Трафик өтүшү үчүн бүтүндүк текшерүүлөрүн өчүрбөңүз. Шифрленген пакеттерди ортолук маршрутизатордо кайра жазбаңыз, анткени бул иштей албайт жана жазууда пайдалуу көрүнсө да агымды бузат. Порт бөгөттөлдү деген теория менен колдонмонун кененирээк файрвол эрежесин ачпаңыз. Алардын эч бири этикетканын дал келбестигине тийбейт.
Эгер ырасталган дал келбестик шериктеш ишке ашыруудан келсе, эң аз тазаланган кайталап жаратууну сактап, аны ошол ишке ашыруунун колдоого алынган каналына алып барыңыз.
Агымды текшериңиз, эсептегичти эмес
Оңдоодон кийин чыныгы IPv6 агымды башынан аягына чейин текшериңиз: туннель аркылуу колдонмо сурамы, анын жообу жана ар бир тарап көргөн дарек жуп. Өсүп жаткан ESP эсептегичи пакеттердин кабыл алынып, аутентификацияланып жатканын гана далилдейт. Ички пакеттин иштетүүгө жарактуу болгону тууралуу ал эч нерсе айтпайт.
Эки жыйынтыкты тең билетке жазыңыз. Эсептегичтин кыймылы кошумча иштеген агым менен оңдоо; эсептегичтин кыймылы гана баштоодон мурун болгон нерсенин дал өзү.