ESP дешифрира правилно, а внатрешниот пакет сѐ уште не оди никаде

Бројачот за примање на ESP се зголемува, тунелот сѐ уште е кренат, а апликацијата никогаш не го гледа пакетот. Дешифрирањето се изврши, проверката на интегритетот помина, а потоа примачот мораше да одлучи што е всушност заштитениот товар. Токму на тој последен чекор се појавува несовпаѓање на форматот, а однадвор тоа воопшто не изгледа како проблем со огнен ѕид.

Што гледате кога етикетата лаже

Ништо во дневникот на клиентот не го разликува ова од црна дупка во рутирањето. И двете создаваат истек на времето на апликацијата покрај здрав тунел, затоа прво се обвинуваат бројачите.

Растечкиот бројач на примање е навистина добра вест: пакетите пристигнуваат и се автентицираат. Тоа не е доказ дека внатрешниот пакет имал смисла за нешто над крипто слојот.

Типот живее во трејлерот

Во обичниот режим на тунел IPsec, товарот заштитен со ESP содржи целосен внатрешен IP пакет. Полето за следното заглавие во трејлерот одредува што е тој товар, и тоа не е TCP порта, не е број на протокол во надворешното заглавие и не е дел од почетното поле SPI и редниот број. RFC 4303 дел 2.6 го дефинира како поле за тип на товар, што е прецизно име за прецизна работа.

Вредностите што ќе ги сретнете се мали и вреди да се запаметат: IPv4 е 4 (0x04), а IPv6 е 41 (0x29).

Тие броеви доаѓаат од доделувањата на протоколски броеви на IANA, а не од локална конвенција. Испраќач што објавува IPv4, а притоа завиткува IPv6 пакет, создал несовпаѓање на форматот, и ниедно правило на огнен ѕид не ги поправа бајтите што противречат на сопствената етикета.

Како да го разликувате од вообичаените осомничени

Повеќето исчезнати пакети не се дефекти во кодирањето. Прво проверете ги селекторите, бидејќи селектор на сообраќај што го исклучува префиксот IPv6 го отфрла сообраќајот пред ништо да биде инкапсулирано. Потоа проверете го рутирањето, па локалното филтрирање на примачот. Само откако тоа ќе се исклучи, несовпаѓањето на форматот на товарот станува веродостојно објаснување.

Шифриран снимак нема да го реши ова, бидејќи заштитеното следно заглавие се наоѓа внатре во шифрираниот товар. Потребна ви е дијагностика на имплементацијата или поддржана дешифрирана точка за набљудување, и двете бараат одобрение пред употреба.

Ако никој не може да го обезбеди тој доказ, немате дефект на форматот. Имате теорија, а селекторите сѐ уште се подобриот облог.

Што не е поправката

Не ги исклучувајте проверките на интегритетот за сообраќајот да помине. Не препишувајте шифрирани пакети на среден рутер, бидејќи тоа не може да работи и ќе го расипе текот, додека во снимак изгледа корисно. Не отворајте пошироко правило на огнен ѕид за апликацијата врз теоријата дека порта е блокирана. Ништо од тоа не го допира несовпаѓањето на етикетата.

Ако потврдено несовпаѓање доаѓа од имплементација на партнер, чувајте минимална исчистена репродукција и однесете ја до поддржаниот канал на таа имплементација.

Проверете го текот, не бројачот

По исправката, тестирајте го вистинскиот тек IPv6 од крај до крај: барање на апликацијата низ тунелот, неговиот одговор и парот адреси што го гледа секоја страна. Растечкиот бројач на ESP докажува само дека пакетите се примаат и автентицираат. Тој не кажува ништо за тоа дали внатрешниот пакет бил употреблив.

Запишете ги двата резултати во тикетот. Движењето на бројачот заедно со работен тек е поправка; самото движење на бројачот е токму она што го имавте пред да започнете.