ESP пристигна, но ништо не е дешифрирано? Следете ги влезните фази

Кога бројачот за шифрирање на огнениот ѕид расте, а тунелот не доставува ништо, инстинктот е да се прошири правило за пристап. Тој инстинкт ја прескокнува сопствената низа проверки на примачот. Влезниот ESP пакет поминува низ неколку фази и секоја може да го заврши животот на пакетот од различна причина: нема соодветна асоцијација, неуспех при повторување или интегритет, или внатрешниот пакет е во ред но не е дозволен понатаму. Именувањето на фазата што не успеа ја претвора нејасната изјава дека IPsec е расипан во конкретен бројач и конкретна поправка.

Пристигнувањето е едно набљудување, не три

Надворешно снимање што покажува дека ESP стигнува до портата докажува само дека надворешниот пакет пристигнал. Прифаќањето значи дека примачот ја нашол асоцијацијата и го валидирал пакетот. Доставувањето значи дека обновениот внатрешен пакет бил рутиран до целта и добил одговор. Тоа се одделни резултати, а панелот што ги спојува го крие токму она што ви треба.

Истото разликување објаснува чест извештај: бројачот за шифрирање на едната страна расте, додека другата не известува за корисен дешифриран сообраќај. Двете тврдења можат да бидат точни истовремено, бидејќи опишуваат различни фази од истиот обид.

Барањето на асоцијацијата се случува пред дешифрирањето

Примачот ги составува фрагментите ако е потребно, потоа ја наоѓа безбедносната асоцијација за пакетот. Кај обичниот unicast ја избираат SPI и целта. Без валидна асоцијација нема понатамошна обработка, затоа застарен или несоодветен SPI дава тишина наместо грешка видлива за апликацијата.

Асоцијациите се насочени и можат да се сменат при обновување на клучеви, затоа запишете ја страната што прима, SPI и временската ознака до влезната асоцијација што ја сметате за тековна. Прикажана излезна асоцијација или здрава IKE врска не ја заменува онаа што треба да го прими овој пакет.

Проверките за повторување и интегритет одбиваат пред да постои товар

Откако ќе се најде асоцијација, примачот ги применува алгоритмите што таа ги одредува. Ако е вклучена заштита од повторување, редниот број надвор од прозорецот се одбива. Неуспехот на проверката за интегритет исто така ја завршува обработката, бидејќи ICV не се совпаѓа со пакетот како што е примен. Ниту еден случај не создава дешифриран внатрешен пакет, па ништо не стигнува до рутирање, политика или апликацијата.

За овие состојби користете ги документираните грешки и бројачи на имплементацијата, наместо секој неуспех при прием да го третирате како одбивање на списокот за пристап. Исклучувањето на интегритетот или заштитата од повторување за да се појави сообраќај не докажува дека влезниот пакет бил легитимен; тоа ја отстранува проверката што сѐ уште ја кажуваше вистината.

UDP портата 4500 е контејнер, не пресуда

Поминувањето низ NAT носи ESP внатре во UDP, а истата порта носи и IKE и пораки за одржување на врската. Затоа активноста на 4500 кажува дека нешто ја користи портата, не дека апликацијата создала ESP пакет. Класифицирајте го товарот пред да го припишете на податочниот сообраќај.

Ова е важно кога снимањето е единствениот достапен доказ. Пораката за одржување што пристигнува навреме може да направи мртов тунел да изгледа жив, а IKE пораката може да направи снимањето да изгледа позафатено отколку што податочната патека навистина е.

Дури по извлекувањето се применуваат рутирањето и политиката

Кога дешифрирањето успева, обновениот внатрешен пакет влегува во нормалната патека: проверки на политиката, рутирање, правила за препраќање и целниот домаќин. Пакетот може да ги помине сите безбедносни проверки и сепак да биде отфрлен овде, а патеката за одговор исто така мора да постои. Тој неуспех припаѓа на препраќањето, не на ESP.

Држете ги бројачите врзани за нивната документирана фаза. Приемот на интерфејсот, прифатениот ESP, дешифрираните бајти и препратените внатрешни пакети не мора да бидат ист број, особено кога забрзана патека ја води податочната рамнина, а контролната рамнина известува одделно. Општата ознака на панелот не е доказ дека два бројачи значат исто.

За една нова овластена операција, задржете ја последната потврдена граница и првата релевантна грешка. Тој пар му кажува на следниот администратор што да истражи: доставување преку транспортот, асоцијација и интегритет или обично внатрешно препраќање, и го избегнува вообичаеното решение секое правило да се направи дозволувачко за да се помести број.