ESP ass ukomm, awer näischt gouf entschlësselt? Follegt den Input-Stufen

Wann den Chiffréierungscompteur vun enger Firewall klëmmt, wärend den Tunnel näischt liwwert, ass den Instinkt eng Zougrëffsregel ze erweideren. Dësen Instinkt spréngt d'eegen Uerdnung vun de Kontrollen vum Empfänger. En Input-ESP-Pak geet duerch verschidde Stufen, an all kann d'Liewen vum Pak aus engem anere Grond ophalen: keng passend Associatioun, e Feeler bei der Widderhuelung oder der Integritéit, oder en bannenzege Pak, deen an der Rei ass, awer net weider erlaabt gëtt. Eng Stuf nennen, déi versot huet, mécht aus enger vaager Ausso, IPsec wier futti, ee bestëmmte Compteur an eng bestëmmte Korrektur.

D'Arrivée ass eng Observatioun, net dräi

Eng baussenzeg Opnam, déi weist datt ESP de Gateway erreecht, beweise just datt de baussenzege Pak ukomm ass. D'Akzeptanz heescht, datt den Empfänger d'Associatioun fonnt an de Pak validéiert huet. D'Liwwerung heescht, datt de restauréierte bannenzege Pak op säin Zil geroutet a beäntwert gouf. Dat sinn ënnerschiddlech Resultater, an en Dashboard, deen se zesummeféiert, verstoppt genee déi Informatioun, déi Dir braucht.

Dee selwechten Ënnerscheed erkläert e geleefege Rapport: de Chiffréierungscompteur vun der enger Säit klëmmt, wärend déi aner iwwer kee nëtzlechen entschlësselte Verkéier bericht. Béid Aussoe kënnen zur selwechter Zäit wouer sinn, well se verschidde Stufe vum selwechten Versuch beschreiwen.

D'Sich no der Associatioun geschitt virun der Entschlësselung

Den Empfänger setzt bei Bedarf Fragmenter erëm zesummen an fënnt duerno d'Sécherheetsassociatioun fir de Pak. Bei gewéinlechem Unicast wielen den SPI an d'Zil se. Ouni gülteg Associatioun geschitt keng weider Veraarbechtung, dofir gëtt en ale oder net passenden SPI Stille amplaz vun engem Feeler, deen d'Applikatioun gesäit.

Associatioune si geriicht a kënne sech bei enger Schlësselerneierung änneren, dofir notéiert déi empfangend Säit, den SPI an den Zäitstempel nieft der Input-Associatioun, déi Dir als aktuell betruecht. Eng ugewisen Output-Associatioun oder eng gesond IKE-Bezéiung ersetzt net déi, déi dëse Pak sollte kréien.

D'Kontrollen op Widderhuelung an Integritéit lehne of, ier et eng Notzlaascht gëtt

Soubal eng Associatioun fonnt ass, wendt den Empfänger d'Algorithmen un, déi se festleet. Wann de Schutz géint Widderhuelung ageschalt ass, gëtt eng Sequenznummer baussent dem Fenster ofgelehnt. E Feeler bei der Integritéitskontroll hält d'Veraarbechtung och op, well den ICV net zum Pak passt, wéi en empfaange gouf. Kee vun deenen zwee Fäll produzéiert en entschlësselte bannenzege Pak, also erreecht näischt d'Routing, d'Politik oder d'Applikatioun.

Benotzt déi dokumentéiert Feeler an Compteen vun der Implementatioun fir dës Zoustänn, amplaz all Empfangsfeeler als Oflehnung vun der Zougrëffslëscht ze behandelen. D'Integritéit oder de Schutz géint Widderhuelung ofzeschalten, fir datt de Verkéier erschéngt, beweise net, datt den erakommene Pak legitim war; et hëlt d'Kontroll ewech, déi d'Wourecht gesot huet.

Den UDP-Port 4500 ass e Behälter, keen Urteel

NAT-Traversal dréit ESP bannent UDP, an dee selwechte Port dréit och IKE- a Keepalive-Message. Aktivitéit op 4500 seet also, datt eppes de Port benotzt, net datt d'Applikatioun en ESP-Pak produzéiert huet. Klassifizéiert d'Notzlaascht, ier Dir se dem Datenverkéier zouordert.

Dat zielt, wann d'Opnam deen eenzege Beweis ass. En Keepalive, deen zum Zäitpunkt ukënnt, kann en doudegen Tunnel lieweg ausgesinn, an eng IKE-Message kann eng Opnam méi beschäftegt ausgesinn, wéi den Datenwee wierklech ass.

Erst no der Extraktioun gëllen Routing a Politik

Wann d'Entschlësselung geléngt, geet de restauréierte bannenzege Pak an de normale Wee: Politikskontrollen, Routing, Weiderleedungsregelen an den Zilhost. E Pak kann all Sécherheetskontroll bestoen an trotzdem hei verluere goen, an de Wee zréck muss och existéieren. Dee Feeler gehéiert zur Weiderleedung, net zu ESP.

Halt d'Compteen un hir dokumentéiert Stuf gebonnen. Empfang um Interface, akzeptéierten ESP, entschlësselte Byten an weidergeleeten bannenzeg Päck mussen net déiselwecht Zuel sinn, besonnesch wann ee beschleunegte Wee d'Dateplang hält an d'Kontrollplang separat bericht. En allgemenge Dashboard-Label ass kee Beweis, datt zwee Compteen datselwecht bedeiten.

Fir eng eenzeg nei autoriséiert Operatioun behält déi lescht bestätegt Grenz an den éischte relevante Feeler. Dee Paar seet dem nächsten Administrateur, ob hien d'Transportliwwerung, d'Associatioun an d'Integritéit oder déi gewéinlech bannenzeg Weiderleedung ënnersiche soll, an et vermeit déi gewéinlech Korrektur, all Regel duerchléisseg ze maachen, fir eng Zuel ze beweegen.