ESP iššifruoja tvarkingai, o vidinis paketas vis tiek niekur nenukeliauja

ESP priėmimo skaitiklis kyla, tunelis lieka pakeltas, o programa paketo niekada nemato. Iššifravimas įvyko, vientisumo patikra praėjo, ir tada gavėjas turėjo nuspręsti, kas iš tikrųjų yra apsaugotas naudingasis krovinys. Būtent tame paskutiniame žingsnyje ir pasirodo formato neatitikimas, o iš išorės tai visai nepanašu į ugniasienės problemą.

Ką matote, kai etiketė meluoja

Niekas kliento žurnale neatskiria to nuo maršrutizavimo juodosios skylės. Abu sukuria programos laiko limitą prie sveiko tunelio, todėl pirmiausia kaltinami skaitikliai.

Kylantis priėmimo skaitiklis iš tiesų yra gera žinia: paketai ateina ir autentifikuojami. Tai nėra įrodymas, kad vidinis paketas turėjo prasmę kam nors aukščiau šifravimo sluoksnio.

Tipas gyvena treileryje

Įprastu IPsec tunelio režimu ESP apsaugotas naudingasis krovinys turi visą vidinį IP paketą. Treilerio kito antraštės laukas nurodo, kas tas krovinys yra, ir tai nėra TCP prievadas, nėra protokolo numeris išorinėje antraštėje ir nėra pradinio SPI bei sekos numerio lauko dalis. RFC 4303 2.6 skyrius jį apibrėžia kaip krovinio tipo lauką, o tai tikslus pavadinimas tiksliai užduočiai.

Reikšmės, su kuriomis susidursite, yra mažos ir vertos įsiminimo: IPv4 yra 4 (0x04), o IPv6 yra 41 (0x29).

Šie skaičiai ateina iš IANA protokolų numerių paskyrimų, o ne iš vietinės tradicijos. Siuntėjas, kuris deklaruoja IPv4, bet įvynioja IPv6 paketą, sukūrė formato nenuoseklumą, ir jokia ugniasienės taisyklė nepataiso baitų, kurie prieštarauja savo pačių etiketei.

Kaip jį atskirti nuo įprastų įtariamųjų

Dauguma dingusių paketų nėra kodavimo defektai. Pirmiausia patikrinkite selektorius, nes srauto selektorius, kuris atmeta IPv6 priešdėlį, išmeta srautą dar prieš ką nors inkapsuliuojant. Tada patikrinkite maršrutizavimą, po to vietinį filtravimą priimančiame mazge. Tik tai atmetus krovinio formato neatitikimas tampa tikėtinu paaiškinimu.

Užšifruotas įrašas to neišspręs, nes apsaugota kita antraštė yra užšifruoto krovinio viduje. Jums reikia diegimo diagnostikos arba palaikomo iššifruoto stebėjimo taško, ir abiem prieš naudojimą reikia leidimo.

Jei niekas negali pateikti to įrodymo, jūs neturite formato klaidos. Turite teoriją, o selektoriai išlieka geresnis statymas.

Kas nėra taisymas

Neišjunkite vientisumo patikrų, kad srautas praeitų. Nepersirašykite užšifruotų paketų tarpiniame maršrutizatoriuje, nes tai negali veikti ir sugadins srautą, nors įraše atrodys naudinga. Neatverkite platesnės programos ugniasienės taisyklės remdamiesi teorija, kad prievadas blokuojamas. Nė vienas iš jų neliečia etiketės neatitikimo.

Jei patvirtintas neatitikimas ateina iš partnerio diegimo, pasilikite minimalų išvalytą atkūrimą ir nuneškite jį į to diegimo palaikomą kanalą.

Tikrinkite srautą, o ne skaitiklį

Po pataisymo išbandykite tikrą IPv6 srautą nuo galo iki galo: programos užklausą per tunelį, jos atsakymą ir adresų porą, kurią mato kiekviena pusė. Kylantis ESP skaitiklis įrodo tik tai, kad paketai priimami ir autentifikuojami. Jis nieko nesako apie tai, ar vidinis paketas buvo tinkamas naudoti.

Užrašykite abu rezultatus biliete. Skaitiklio judėjimas kartu su veikiančiu srautu yra taisymas; vien skaitiklio judėjimas yra būtent tai, ką turėjote prieš pradėdami.