ESP ieradās, bet nekas netika atšifrēts? Sekojiet ienākošajiem posmiem

Kad ugunsmūra šifrēšanas skaitītājs kāpj, bet tunelis neko nepiegādā, instinkts ir paplašināt piekļuves noteikumu. Šis instinkts izlaiž paša uztvērēja pārbaužu secību. Ienākošā ESP paka iet cauri vairākiem posmiem, un katrs var izbeigt pakas dzīvi cita iemesla dēļ: nav atbilstošas asociācijas, atkārtošanas vai integritātes kļūme, vai iekšējā paka ir kārtībā, bet tālāk netiek atļauta. Neizdevušā posma nosaukšana pārvērš neskaidru apgalvojumu, ka IPsec ir salūzis, konkrētā skaitītājā un konkrētā labojumā.

Ierašanās ir viens novērojums, nevis trīs

Ārējs ieraksts, kas parāda, ka ESP sasniedz vārteju, pierāda tikai to, ka ārējā paka ir ieradusies. Pieņemšana nozīmē, ka uztvērējs atrada asociāciju un validēja paku. Piegāde nozīmē, ka atjaunotā iekšējā paka tika maršrutēta uz galamērķi un tika atbildēts. Tie ir atsevišķi rezultāti, un informācijas panelis, kas tos apvieno, paslēpj tieši vajadzīgo informāciju.

Tā pati atšķirība izskaidro biežu ziņojumu: vienas puses šifrēšanas skaitītājs kāpj, bet otra neziņo par lietderīgu atšifrētu datplūsmu. Abi apgalvojumi var būt patiesi vienlaikus, jo tie apraksta dažādus tā paša mēģinājuma posmus.

Asociācijas meklēšana notiek pirms atšifrēšanas

Uztvērējs vajadzības gadījumā no jauna saliek fragmentus, pēc tam atrod pakas drošības asociāciju. Parastā unicast to izvēlas SPI un galamērķis. Bez derīgas asociācijas tālāka apstrāde nenotiek, tāpēc novecojis vai neatbilstošs SPI rada klusumu, nevis programmai redzamu kļūdu.

Asociācijas ir virzītas un var mainīties atslēgu atjaunošanas laikā, tāpēc pierakstiet saņēmēju pusi, SPI un laika zīmogu blakus ienākošajai asociācijai, kuru uzskatāt par pašreizējo. Parādītā izejošā asociācija vai veselīga IKE attiecība neaizstāj to, kurai vajadzētu saņemt šo paku.

Atkārtošanas un integritātes pārbaudes noraida pirms lietderīgās kravas pastāvēšanas

Kad asociācija ir atrasta, uztvērējs piemēro algoritmus, ko tā nosaka. Ja ir ieslēgta aizsardzība pret atkārtošanu, secības numurs ārpus loga tiek noraidīts. Integritātes pārbaudes kļūme arī beidz apstrādi, jo ICV neatbilst pakai tā, kā tā tika saņemta. Neviens gadījums nerada atšifrētu iekšējo paku, tāpēc nekas nesasniedz maršrutēšanu, politiku vai programmu.

Šiem stāvokļiem izmantojiet implementācijas dokumentētās kļūdas un skaitītājus, tā vietā lai katru saņemšanas kļūmi uzskatītu par piekļuves saraksta atteikumu. Integritātes vai aizsardzības pret atkārtošanu izslēgšana, lai datplūsma parādītos, nepierāda, ka ienākošā paka bija likumīga; tā noņem pārbaudi, kas teica patiesību.

UDP 4500 ports ir konteiners, nevis spriedums

NAT šķērsošana pārvadā ESP UDP iekšienē, un tas pats ports pārvadā arī IKE un savienojuma uzturēšanas ziņojumus. Tāpēc aktivitāte uz 4500 nozīmē, ka kaut kas izmanto portu, nevis to, ka programma ir radījusi ESP paku. Klasificējiet kravu, pirms to attiecināt uz datu plūsmu.

Tas ir svarīgi, ja ieraksts ir vienīgais pieejamais pierādījums. Laikus ienākošs savienojuma uzturēšanas ziņojums var likt mirušam tunelim izskatīties dzīvam, un IKE ziņojums var likt ierakstam izskatīties aizņemtākam, nekā datu ceļš patiesībā ir.

Maršrutēšana un politika tiek piemērotas tikai pēc izguves

Kad atšifrēšana izdodas, atjaunotā iekšējā paka nonāk parastajā ceļā: politikas pārbaudes, maršrutēšana, pārsūtīšanas noteikumi un galamērķa resursdators. Paka var izturēt visas drošības pārbaudes un tomēr tikt izmesta šeit, un arī atbildes ceļam ir jābūt. Šī kļūme pieder pārsūtīšanai, nevis ESP.

Turiet skaitītājus saistītus ar to dokumentēto posmu. Saskarnes saņemšana, pieņemtais ESP, atšifrētās baiti un pārsūtītās iekšējās pakas nav obligāti viens un tas pats skaitlis, jo īpaši tad, ja paātrinātais ceļš apstrādā datu plakni un vadības plakne ziņo atsevišķi. Vispārīgs informācijas paneļa marķējums nav pierādījums, ka divi skaitītāji nozīmē vienu un to pašu.

Vienai jaunai atļautai darbībai saglabājiet pēdējo apstiprināto robežu un pirmo būtisko kļūdu. Šis pāris pastāsta nākamajam administratoram, ko izmeklēt: transporta piegādi, asociāciju un integritāti vai parasto iekšējo pārsūtīšanu, un tas izvairās no ierastā labojuma padarīt katru noteikumu atļaujošu, lai skaitlis kustētos.