Wéi vill Kontrollsummen huet e VPN-Pak? Et hänkt dovun of

D'Behaaptung, datt e VPN-Pak genee zwou Kontrollsummen dréit, kléngt uerdentlech a ass dacks genuch falsch fir se auserneenzehuelen. D'Zuel hänkt dovun of, wéi eng IP-Versiounen optrieden, wéi ee Transportprotokoll gedroe gëtt a wéi ee Schutzformat den Tunnel benotzt. Eng Header-Kontrollsumm, eng Kontrollsumm vun der ieweschter Schicht an en kryptographeschen Integritéits-Tag sinn dräi Mechanismen mat dräi Beräicher. Si ze zielen fänkt domat un ze markéieren, wat jidderee vun hinnen deckt.

Kuckt no, wéi eng IP-Versiounen tatsächlech um Kabel sinn

IPv4-Headeren droen eng 16-Bit-Header-Kontrollsumm, an IPv6-Headeren droen näischt vun där Zort. Dës eenzeg Tatsaach ännert d'Zuel fir all Tunnel, well IPv4 an IPv6 anzepaken an IPv6 an IPv4 anzepaken ënnerschiddlech Dokumenter ergëtt. En Tunnel kann déi zwou Familljen zur selwechter Zäit droen, an dann kann eng Richtung e Feld enthalen, dat déi aner net huet. Setzt d'Versiounen fest, ier der iwwerhaapt eppes zielt.

Schreift d'Layout als Headerlëscht a net als Bild. D'Reiefolleg ass wichteg beim Liese vun enger Opnam, an d'Präsenz oder d'Feele vum Kontrollsummefeld ass dat éischt, wat markéiert muss ginn.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Déi éischt Zeil huet néierens an hire IP-Headeren eng IP-Header-Kontrollsumm, wärend déi zweet zwou huet, wann béid Headeren IPv4 sinn. Déi selwecht Tunneltechnologie, eng aner Zuel, an keng vun de Linne ass en vollstännegt Kabelformat.

Kuckt no, wat all Kontrollsumm deckt

D'Deckung ass deen Deel, deen d'Leit iwwersprangen, an et ass deen, deen eng Zuel sënnvoll mécht. D'IPv4-Header-Kontrollsumm schützt den Header an näischt anescht, also seet se näischt iwwer d'Notzlaascht hannendrun. Eng UDP-Kontrollsumm iwwer IPv6 deckt e Pseudo-Header plus den UDP-Header an d'Notzlaascht, wat bedeit, datt se bis an de gedroe Pak reecht, wann den Datagramm getunnelt gëtt. TCP huet seng eege Kontrollsumm mat enger ähnlecher Ofhängegkeet vum Pseudo-Header. Dat sinn dräi ënnerschiddlech Beräicher, och wann all dräi Kontrollsumm genannt ginn.

RFC 791 definéiert d'IPv4-Headerprüfung an hir Neiberechnung op all Hop, an RFC 8200 definéiert d'Behandlung vun der ieweschter Schicht iwwer IPv6 inklusiv dem Pseudo-Header. Keen Dokument seet, datt e VPN-Pak eng fest Zuel vu Kontrollsummen huet, well keen den Tunnel beschreift.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Kuckt den Integritéitsschutz separat un

ESP-Integritéit ass kryptographeschen Schutz mat senger eegener Deckung an enger algorithmusofhängeger Duerstellung. Et ass keng IP- oder UDP-Kontrollsumm ënner engem aneren Numm, an hir Längt variéiert mat der gewielter Konstruktioun. Eng Integritéitspréifung deckt en definéierten Deel vum Pak, deen jee no Modus den ESP-Header an en Deel vun der Notzlaascht ëmfaasse kann. Se als Kontrollsummefeld vun bekannter Breet ze zielen ass de Punkt, wou déi meescht vun dësen Erklärungen auserneefalen.

Liest déi gewielt Konstruktioun, ier der Bytes zielt, a beschreift d'Resultat als Integritéitsschutz an net als Kontrollsumm mat engem aneren Etikett. Den Dekoder nennt Iech d'Feld, wann der hie frot.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Kuckt de Observatiounspunkt un, ier der zielt

Eng Opnam um inneren Interface an eng Opnam um Kabel kënnen ganz ënnerschiddlech Schichte weisen. Um inneren Interface ass den Tunnel schonn ofgezunn, also gesitt der de gedroe Pak an keen vun den äusseren Headeren. Um Kabel gesitt der déi äusser Headeren an eng verschlësselt Notzlaascht, déi der net liese kënnt. Keng vun den zwou Usiichte ass falsch, an et sinn net Usiichte vum selwechten Objet. Nennt, wou d'Opnam gemaach gouf, ier der eng Zuel zitéiert.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Den éischte Befehl weist den äussere Pak mat sengem Integritéitstrailer, an den zweeten de gedroe Pak mat senger eegener Transportkontrollsumm. D'Zuelen aus béiden Opnamen ze addéieren zielt näischt duebel, awer erklärt dee selwechte Pak zweemol.

Halt d'Zuel géint eng richteg Opnam

Dekodéiert ee Pak komplett a markéiert all Feld, dat den Dekoder als Kontrollsumm oder Integritéitswäert bezeechent. Da vergläicht all Mark mat der Layout, déi der geschriwwen hutt, an läscht déi, déi zu enger Schicht gehéieren, déi der net wierklech zielt. Eng Zuel, déi déi Übung iwwerlieft, ass verdeedegbar, an eng aus dem Gediechtnes zitéiert ass et net.

Widderhëlt dat fir d'Äntwertrichtung, well en Tunnel, deen déi zwou Famillje dréit, pro Richtung a pro Floss ënnerschiddlech kënnen. Dann nennt d'Zuel mat hirem Beräich, zum Beispill dräi Kontrollsummen fir dësen inneren Pak op dësem Observatiounspunkt, an net als Eegeschaft vu VPN-Pak am Allgemengen.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum