ESP atšifrē kārtīgi, un iekšējais pakets tomēr nekur nenonāk

ESP uztveršanas skaitītājs pieaug, tunelis paliek uzcelts, un lietotne paketu nekad neredz. Atšifrēšana notika, integritātes pārbaude izturēja, un tad uztvērējam bija jāizlemj, kas īsti ir aizsargātā lietderīgā slodze. Tieši šajā pēdējā solī parādās formāta neatbilstība, un no malas tas nemaz neizskatās pēc ugunsmūra problēmas.

Ko jūs redzat, kad etiķete melo

Nekas klienta žurnālā to neatšķir no maršrutēšanas melnā cauruma. Abi rada lietotnes taimautu blakus veselīgam tunelim, tāpēc vispirms tiek vainoti skaitītāji.

Pieaugošs uztveršanas skaitītājs patiešām ir laba ziņa: paketi ierodas un tiek autentificēti. Tas nav pierādījums, ka iekšējam paketam bija jēga kaut kam virs šifrēšanas slāņa.

Tips mīt treilerā

Parastā IPsec tuneļa režīmā ESP aizsargātā lietderīgā slodze satur pilnu iekšējo IP paketu. Treilera nākamās galvenes lauks nosaka, kas ir šī slodze, un tas nav TCP ports, nav protokola numurs ārējā galvenē un nav daļa no sākotnējā SPI un secības numura lauka. RFC 4303 2.6. sadaļa to definē kā slodzes tipa lauku, kas ir precīzs nosaukums precīzam darbam.

Vērtības, ar kurām saskarsieties, ir mazas un ir vērts tās atcerēties: IPv4 ir 4 (0x04), bet IPv6 ir 41 (0x29).

Šie skaitļi nāk no IANA protokolu numuru piešķīrumiem, nevis no vietējās konvencijas. Sūtītājs, kas deklarē IPv4, bet iesaiņo IPv6 paketu, ir radījis formāta neatbilstību, un neviens ugunsmūra noteikums nelabo baitus, kas ir pretrunā ar savu pašu etiķeti.

Kā to atšķirt no ierastajiem aizdomās turamajiem

Lielākā daļa pazudušo pakešu nav kodēšanas defekti. Vispirms pārbaudiet selektorus, jo trafika selektors, kas izslēdz IPv6 prefiksu, atmet trafiku, pirms kaut kas tiek iekapsulēts. Pēc tam pārbaudiet maršrutēšanu un tad vietējo filtrēšanu uz uztvērēja resursdatora. Tikai pēc tam, kad tas ir izslēgts, slodzes formāta neatbilstība kļūst par ticamu skaidrojumu.

Šifrēts uztvērums to neatrisinās, jo aizsargātā nākamā galvene atrodas šifrētās slodzes iekšpusē. Jums vajag ieviešanas diagnostiku vai atbalstītu atšifrētu novērošanas punktu, un abiem pirms lietošanas vajag atļauju.

Ja neviens nevar sniegt šo pierādījumu, jums nav formāta kļūdas. Jums ir teorija, un selektori joprojām ir labāks likme.

Kas nav labojums

Neizslēdziet integritātes pārbaudes, lai trafiks izietu. Nepārrakstiet šifrētus paketus starpposma maršrutētājā, jo tas nevar strādāt un sabojās plūsmu, kamēr uztvērumā izskatīsies noderīgi. Neatveriet plašāku lietotnes ugunsmūra noteikumu, pamatojoties uz teoriju, ka ports ir bloķēts. Neviens no tiem neskar etiķetes neatbilstību.

Ja apstiprināta neatbilstība nāk no otra ieviešanas, saglabājiet minimālu attīrītu reproducējumu un aiznesiet to uz tās ieviešanas atbalstīto kanālu.

Pārbaudiet plūsmu, nevis skaitītāju

Pēc labojuma pārbaudiet reālo IPv6 plūsmu no gala līdz galam: lietotnes pieprasījumu caur tuneli, tā atbildi un adrešu pāri, ko novēro katra puse. Pieaugošs ESP skaitītājs pierāda tikai to, ka paketi tiek uztverti un autentificēti. Tas neko nesaka par to, vai iekšējais pakets bija lietojams.

Ierakstiet abus rezultātus biļetē. Skaitītāja kustība kopā ar strādājošu plūsmu ir labojums; tikai skaitītāja kustība ir tieši tas, kas jums bija pirms sākuma.