Эмне үчүн жалгыз шифрлөө кайра жиберилген пакетти токтотпойт

Корголгон пакеттер криптографиялык жактан эскирбейт, ошондуктан беш мүнөт мурун жарактуу болгон пакет азыр да жарактуу, анткени шифрлөө жана бүтүндүк коргоосу байттар качан жаралганы тууралуу эч нерсе айтпайды. Трафикти кармап, кайра жибере алган чабуулчуга шифрди бузуунун кереги жок. Ошондуктан ар бир олуттуу туннель протоколу ачкычтары менен катар ырааттуулук абалын алып жүрөт.

Механизм кичине, жана анын иштебей калуу жолдорун пакет жоготуу менен чаташтыруу оңой.

Жарактуу шифртекст жаңы шифртекст эмес

Аутентификация бир суроого жооп берет: бул байттар ачкычтын ээсинен өзгөртүлбөй келдиби. Ал кабыл алуучу аларды биринчи жолу көрүп жатабы дегенге жооп бербейт. Кайра жиберилген пакет биринчи сыноодон кемчиликсиз өтөт, ошондуктан гана бүтүндүк текшерүү кайра жиберүүнү токтото албайт жана протоколго кабыл алуу тууралуу экинчи эреже керек. Бир гана аутентификация кылган кабыл алуучунун жазуусу бар чабуулчуга каршы коргоосу жок.

Бул эрежени киргизүү да, айтуу да арзан: берилген корголгон пакетти берилген ачкычтын астында бир жолу кабыл ал. Бул тармактагы калган нерсенин баары ишке ашыруунун ошол бир жолду кантип көзөмөлдөөрүнөн келип чыгат.

Кайра жиберүүнүн четке кагылышын чечмелөө катасы деп окуу сизди таптакыр туура эмес ички системага жөнөтөт.

Ырааттуулук номери жана терезе

IPsec ESP ырааттуулук номерин алып жүрөт жана кабыл алуучу жакында кабыл алынган маанилердин жылма терезесин кармайт, ал эми ESP спецификациясы демейки терезе өлчөмүн жана аны кеңейтүү мүмкүнчүлүгүн сүрөттөйт. WireGuard башка жол менен жүрөт: ар бир ачкычка эсептегич жана ага каршы ачык текшерүү. Эки долбоор тең пакеттердин ирети менен келишин болжолдобойт, анткени чыныгы тармактар аларды кайра иреттейт. Экөө тең кайра иреттөөгө чыдайт, бири да кайталоого чыдабайт.

Дал терезе ошол чыдамкайлыкты мүмкүн кылат. Көрүлгөн эң жогорку мааниден бир аз артта калган пакет мурун кабыл алынбаган болсо, дагы эле кабыл алынышы мүмкүн; бир кыйла артта калган же орду мурунтан белгиленген пакет ыргытылат. Терезени чоңойтсоңуз, ар бир бирикмеге көбүрөөк абал эсебинен көбүрөөк кайра иреттөөгө чыдайсыз.

Диагностикалык эсептегичтер кайсы учурда экениңизди көрсөтөт. Кайра жиберүүнүн четке кагылышы жалпы ката эмес, белгилүү эсептегичти көбөйтөт, жана ошол эсептегичти окуу биринчи пайдалуу байкоо.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Абал ачкычка таандык, хостко эмес

Эсептегичтин абалы коопсуздук бирикмесине же ачкыч дооруна байланган, ошондуктан ачкычты алмаштыруу жаңы контекст жана өзүнүн ырааттуулук мейкиндигин түзөт. Ачкычты алмаштырбай эсептегичти тазалоо же кол менен кайра жүктөөдөн кийин бирикмени кайра колдонуу кабыл алуучунун терезеси таянган божомолду бузат. Ошондуктан операторго көрүнгөн кайра жүктөө баскычынын ордуна протокол башкарган ачкыч алмаштыруу бар.

Кол менен кийлигишүүдөн кийин туннель начар иштесе, кийлигишүү ырааттуулук абалына тийдиби деп сураңыз. Бирдей көрүнгөн конфигурация башкача жүрүшү мүмкүн, анткени ал мураска алган абал анын күткөн абалы эмес.

Бир нерсени өчүрүүдөн мурун себебин диагностикалаңыз

Жоготуу, кайра иреттөө, кайталанган трафик жана ишке ашыруу кемчилиги баары кайра жиберүү катары көрүнөт, жана алардын бирөө гана кайра жиберүү маселеси. Ызы-чууну басуу үчүн текшерүүнү өчүрүү сиз таянган касиетти алып салат жана баштапкы себепти табууну кыйындатат, анткени азыр кайра жиберүүлөрдүн эч кандай түшүндүрмөсү жок.

Чектелген далил жыйнаңыз: бирикме идентификаторлору, ырааттуулук номерлери жана эсептегичтер, пайдалуу жүктөмсүз. Бул көчүрмөнү кайра иреттелген келүүдөн ажыратууга жетишет жана диагностикалык файлыңызды колдонуучунун трафигинин көчүрмөсүнө айландырбайт.

Текшерүү эмнени убада кылбайт

Кайра жиберүүдөн коргоо бир протоколдун ичиндеги пакетти иштетүүнүн касиети. Бул оператор эч кандай журнал жүргүзбөйт, сайт аккаунтту тааный албайт же сессия анонимдүү дегенди билдирбейт. Алар өзүнчө системалар тууралуу өзүнчө суроолор, жана күчтүү кайра жиберүүгө каршы долбоор алардын бирине да жооп бербейт.

Колдоого алынган параметрлер менен тейленген программалык камсыздоо — колдонуучуга жеткиликтүү практикалык көзөмөл. Пакетти протокол иштетет; калганынын баары операциялык чечим бойдон калат.