ESP atvyko, bet niekas nebuvo iššifruota? Sekite įeinančius etapus

Kai ugniasienės šifravimo skaitiklis kyla, o tunelis nieko nepristato, instinktas yra išplėsti prieigos taisyklę. Tas instinktas praleidžia paties imtuvo patikrų seką. Įeinantis ESP paketas praeina kelis etapus, ir kiekvienas gali užbaigti paketo gyvenimą dėl skirtingos priežasties: nėra atitinkančios asociacijos, kartojimo ar vientisumo gedimas, arba vidinis paketas yra tvarkingas, bet toliau neleidžiamas. Nepavykusio etapo įvardijimas neaiškų teiginį, kad IPsec sugedo, paverčia konkrečiu skaitikliu ir konkrečiu pataisymu.

Atvykimas yra vienas stebėjimas, o ne trys

Išorinė įrašas, rodantis, kad ESP pasiekia šliuzą, įrodo tik tai, kad atvyko išorinis paketas. Priėmimas reiškia, kad imtuvas rado asociaciją ir patvirtino paketą. Pristatymas reiškia, kad atkurtas vidinis paketas buvo nukreiptas į paskirties vietą ir atsakyta. Tai atskiri rezultatai, o prietaisų skydelis, kuris juos sujungia, paslepia būtent tą informaciją, kurios jums reikia.

Tas pats skirtumas paaiškina dažną pranešimą: vienos pusės šifravimo skaitiklis kyla, o kita nepraneša apie jokį naudingą iššifruotą srautą. Abu teiginiai gali būti teisingi vienu metu, nes jie aprašo skirtingus to paties bandymo etapus.

Asociacijos paieška vyksta prieš iššifravimą

Imtuvas prireikus vėl sujungia fragmentus, tada suranda paketo saugumo asociaciją. Įprastame unicast ją parenka SPI ir paskirtis. Be galiojančios asociacijos tolesnis apdorojimas nevyksta, todėl pasenęs arba netinkamas SPI sukuria tylą, o ne programai matomą klaidą.

Asociacijos yra kryptinės ir gali keistis raktų atnaujinimo metu, todėl užrašykite priimančią pusę, SPI ir laiko žymą šalia įeinančios asociacijos, kurią laikote dabartine. Rodoma išeinanti asociacija arba sveikas IKE ryšys nepakeičia tos, kuri turėtų priimti šį paketą.

Kartojimo ir vientisumo patikros atmeta prieš atsirandant naudingajai apkrovai

Radus asociaciją, imtuvas taiko algoritmus, kuriuos ji nurodo. Jei įjungta apsauga nuo kartojimo, sekančios eilės numeris už lango atmetamas. Vientisumo patikros gedimas taip pat baigia apdorojimą, nes ICV neatitinka paketo tokio, koks buvo gautas. Nė vienas atvejis nesukuria iššifruoto vidinio paketo, todėl niekas nepasiekia maršrutizavimo, politikos ar programos.

Šioms būsenoms naudokite dokumentuotas implementacijos klaidas ir skaitiklius, o ne traktuokite kiekvieną priėmimo gedimą kaip prieigos sąrašo atmetimą. Vientisumo ar apsaugos nuo kartojimo išjungimas, kad srautas atsirastų, neįrodo, kad įeinantis paketas buvo teisėtas; tai pašalina patikrą, kuri sakė tiesą.

UDP 4500 prievadas yra talpykla, o ne nuosprendis

NAT perėjimas neša ESP UDP viduje, ir tas pats prievadas neša ir IKE bei ryšio palaikymo pranešimus. Todėl aktyvumas 4500 rodo, kad kažkas naudoja prievadą, o ne kad programa sukūrė ESP paketą. Klasifikuokite apkrovą prieš priskirdami ją duomenų srautui.

Tai svarbu, kai įrašas yra vienintelis prieinamas įrodymas. Laiku atvykstantis ryšio palaikymo pranešimas gali priversti negyvą tunelį atrodyti gyvą, o IKE pranešimas gali priversti įrašą atrodyti užimtesnį, nei duomenų kelias iš tikrųjų yra.

Maršrutizavimas ir politika taikomi tik po išgavimo

Kai iššifravimas pavyksta, atkurtas vidinis paketas patenka į įprastą kelią: politikos patikros, maršrutizavimas, persiuntimo taisyklės ir paskirties hostas. Paketas gali praeiti visas saugumo patikras ir vis tiek būti numestas čia, o atsakymo kelias taip pat turi egzistuoti. Ta nesėkmė priklauso persiuntimui, o ne ESP.

Laikykite skaitiklius susietus su jų dokumentuotu etapu. Sąsajos priėmimas, priimtas ESP, iššifruoti baitai ir persiųsti vidiniai paketai neturi būti tas pats skaičius, ypač kai pagreitintas kelias tvarko duomenų plokštumą, o valdymo plokštuma praneša atskirai. Bendras prietaisų skydelio žymėjimas nėra įrodymas, kad du skaitikliai reiškia tą patį.

Vienai naujai leistinai operacijai išsaugokite paskutinę patvirtintą ribą ir pirmąją reikšmingą klaidą. Ta pora pasako kitam administratoriui, ką tirti: transporto pristatymą, asociaciją ir vientisumą, ar įprastą vidinį persiuntimą, ir išvengia įprasto pataisymo padaryti kiekvieną taisyklę leidžiančią, kad skaičius pajudėtų.