Колку контролни суми има еден VPN пакет? Зависи

Тврдењето дека VPN пакетот носи точно две контролни суми звучи уредно и е доволно често неточно за да вреди да се разложи. Бројот зависи од тоа кои IP верзии се појавуваат, кој транспортен протокол се пренесува и кој формат на заштита го користи тунелот. Контролната сума на заглавието, контролната сума на горниот слој и криптографската ознака за интегритет се три механизми со три опфати. Нивното броење започнува со означување што покрива секој од нив.

Проверете кои IP верзии сѐ уште се на жицата

IPv4 заглавијата носат 16-битна контролна сума на заглавието, а IPv6 заглавијата не носат ништо такво. Овој единствен факт го менува бројот за секој тунел, бидејќи пакувањето на IPv4 во IPv6 и на IPv6 во IPv4 дава различни документи. Тунелот може да носи двете фамилии истовремено, а тогаш едниот правец може да содржи поле што другиот го нема. Утврдете ги верзиите пред да броите било што.

Запишете го распоредот како список на заглавија, а не како слика. Редоследот е важен при читање на снимка, а присуството или отсуството на полето за контролна сума е првото нешто што треба да се означи.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Првиот ред нема контролна сума на IP заглавието никаде во своите IP заглавија, додека вториот има две кога двете заглавија се IPv4. Иста технологија на тунел, различен број, и ниту еден ред не е целосен формат на жица.

Проверете што покрива секоја контролна сума

Опфатот е делот што луѓето го прескокнуваат, и токму тој го прави бројот смислен. Контролната сума на IPv4 заглавието го штити заглавието и ништо друго, па не кажува ништо за товарот зад него. UDP контролната сума над IPv6 покрива псевдо-заглавие плус UDP заглавието и товарот, што значи дека допира во пренесениот пакет кога датаграмот е тунелиран. TCP има своја контролна сума со слична зависност од псевдо-заглавието. Тоа се три различни опфати иако сите три се нарекуваат контролни суми.

RFC 791 ја дефинира проверката на IPv4 заглавието и неговото пресметување на секој хоп, а RFC 8200 ја дефинира обработката на горниот слој над IPv6, вклучително псевдо-заглавието. Ниту еден документ не вели дека VPN пакетот има фиксен број контролни суми, бидејќи ниту еден не опишува тунел.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Проверете ја заштитата на интегритетот одделно

ESP интегритетот е криптографска заштита со свој опфат и претстава што зависи од алгоритмот. Тоа не е IP или UDP контролна сума под друго име, а неговата должина варира со избраната конструкција. Проверката на интегритетот покрива определен дел од пакетот, кој во зависност од режимот може да го вклучи ESP заглавието и дел од товарот. Неговото броење како поле за контролна сума со позната ширина е местото каде повеќето од овие објаснувања се распаѓаат.

Прочитајте ја избраната конструкција пред да броите бајти и опишете го резултатот како заштита на интегритетот, а не како контролна сума со друга ознака. Декодерот ќе ви го именува полето ако го прашате.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Проверете ја точката на набљудување пред да броите

Снимка на внатрешниот интерфејс и снимка на жицата може да покажат сосема различни слоеви. На внатрешниот интерфејс тунелот е веќе отстранет, па гледате пренесениот пакет и ниту едно од надворешните заглавија. На жицата ги гледате надворешните заглавија и шифрираниот товар што не можете да го прочитате. Ниту еден поглед не е погрешен и тие не се погледи на истиот објект. Наведете каде е направена снимката пред да цитирате каков било број.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Првата команда го покажува надворешниот пакет со неговата опашка за интегритет, а втората го покажува пренесениот пакет со својата транспортна контролна сума. Собирањето броеви од двете снимки не брои ништо двојно, но го објаснува истиот пакет двапати.

Споредете го бројот со вистинска снимка

Декодирајте еден пакет целосно и означете го секое поле што декодерот го нарекува контролна сума или вредност за интегритет. Потоа споредете ја секоја ознака со распоредот што сте го запишале и избришете ги оние што припаѓаат на слој што всушност не го броите. Број што ќе ја преживее таа вежба е одбранлив, а број цитиран од памет не е.

Повторете за правецот на одговорот, бидејќи тунел што ги носи двете фамилии може да се разликува по правец и по тек. Потоа кажете го бројот со неговиот опфат, на пример три контролни суми за овој внатрешен пакет во оваа точка на набљудување, а не како особина на VPN пакетите воопшто.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum