ESP എത്തി പക്ഷേ ഒന്നും ഡീക്രിപ്റ്റ് ചെയ്തില്ലേ? ഇൻബൗണ്ട് ഘട്ടങ്ങൾ പിന്തുടരുക

ഫയർവാളിന്റെ എൻക്രിപ്ഷൻ കൗണ്ടർ ഉയരുമ്പോൾ ടണൽ ഒന്നും എത്തിക്കുന്നില്ലെങ്കിൽ, ആക്സസ് നിയമം വിശാലമാക്കാനുള്ള പ്രവണത വരും. ആ പ്രവണത സ്വീകർത്താവിന്റെ സ്വന്തം പരിശോധനാ ക്രമം ഒഴിവാക്കുന്നു. ഇൻബൗണ്ട് ESP പാക്കറ്റ് നിരവധി ഘട്ടങ്ങളിലൂടെ കടന്നുപോകുന്നു, ഓരോ ഘട്ടവും വ്യത്യസ്ത കാരണത്താൽ പാക്കറ്റിന്റെ ജീവിതം അവസാനിപ്പിക്കാം: പൊരുത്തമുള്ള അസോസിയേഷൻ ഇല്ല, റീപ്ലേ അല്ലെങ്കിൽ ഇന്റഗ്രിറ്റി പരാജയം, അല്ലെങ്കിൽ ഉള്ളിലെ പാക്കറ്റ് കുഴപ്പമില്ല പക്ഷേ മുന്നോട്ട് അനുവാദമില്ല. പരാജയപ്പെട്ട ഘട്ടം പേരിടുന്നത് IPsec കേടായി എന്ന അവ്യക്തമായ പ്രസ്താവനയെ നിർദ്ദിഷ്ട കൗണ്ടറും നിർദ്ദിഷ്ട പരിഹാരവുമാക്കി മാറ്റുന്നു.

എത്തിച്ചേരൽ ഒരു നിരീക്ഷണമാണ്, മൂന്നല്ല

ESP ഗേറ്റ്‌വേയിൽ എത്തുന്നു എന്ന് കാണിക്കുന്ന പുറത്തെ ക്യാപ്ചർ പുറം പാക്കറ്റ് എത്തി എന്ന് മാത്രം തെളിയിക്കുന്നു. സ്വീകരണം എന്നാൽ സ്വീകർത്താവ് അസോസിയേഷൻ കണ്ടെത്തി പാക്കറ്റ് സാധൂകരിച്ചു എന്നാണ്. ഡെലിവറി എന്നാൽ വീണ്ടെടുത്ത ഉള്ളിലെ പാക്കറ്റ് അതിന്റെ ലക്ഷ്യത്തിലേക്ക് റൂട്ട് ചെയ്യപ്പെട്ടു, മറുപടി ലഭിച്ചു എന്നാണ്. ഇവ വെവ്വേറെ ഫലങ്ങളാണ്, അവ കൂട്ടിച്ചേർക്കുന്ന ഡാഷ്ബോർഡ് നിങ്ങൾക്ക് ആവശ്യമായ വിവരം തന്നെ മറയ്ക്കുന്നു.

അതേ വ്യത്യാസം ഒരു സാധാരണ റിപ്പോർട്ട് വിശദീകരിക്കുന്നു: ഒരു വശത്തിന്റെ എൻക്രിപ്ഷൻ കൗണ്ടർ ഉയരുന്നു, മറുവശം ഉപയോഗപ്രദമായ ഡീക്രിപ്റ്റ് ചെയ്ത ട്രാഫിക്കിനെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യുന്നില്ല. രണ്ട് പ്രസ്താവനകളും ഒരേ സമയം ശരിയാകാം, കാരണം അവ ഒരേ ശ്രമത്തിന്റെ വ്യത്യസ്ത ഘട്ടങ്ങളെ വിവരിക്കുന്നു.

അസോസിയേഷൻ തിരയൽ ഡീക്രിപ്ഷന് മുമ്പ് നടക്കുന്നു

സ്വീകർത്താവ് ആവശ്യമെങ്കിൽ ശകലങ്ങൾ വീണ്ടും ചേർക്കുന്നു, പിന്നീട് പാക്കറ്റിന്റെ സുരക്ഷാ അസോസിയേഷൻ കണ്ടെത്തുന്നു. സാധാരണ യൂണികാസ്റ്റിൽ SPI ഉം ലക്ഷ്യവും അത് തിരഞ്ഞെടുക്കുന്നു. സാധുവായ അസോസിയേഷൻ ഇല്ലെങ്കിൽ കൂടുതൽ പ്രോസസ്സിംഗ് ഇല്ല, അതുകൊണ്ടാണ് പഴയതോ പൊരുത്തമില്ലാത്തതോ ആയ SPI അപ്ലിക്കേഷന് കാണാവുന്ന പിശകിന് പകരം നിശബ്ദത സൃഷ്ടിക്കുന്നത്.

അസോസിയേഷനുകൾ ദിശാബോധമുള്ളവയാണ്, കീ പുതുക്കലിൽ മാറാം, അതിനാൽ നിലവിലുള്ളതായി കരുതുന്ന ഇൻബൗണ്ട് അസോസിയേഷന്റെ അടുത്ത് സ്വീകരിക്കുന്ന പിയർ, SPI, സമയമുദ്ര എന്നിവ രേഖപ്പെടുത്തുക. കാണിക്കുന്ന ഔട്ട്ബൗണ്ട് അസോസിയേഷനോ ആരോഗ്യകരമായ IKE ബന്ധമോ ഈ പാക്കറ്റ് സ്വീകരിക്കേണ്ട അസോസിയേഷന്റെ പകരമല്ല.

റീപ്ലേ, ഇന്റഗ്രിറ്റി പരിശോധനകൾ പേലോഡ് ഉണ്ടാകുന്നതിന് മുമ്പ് തന്നെ നിരസിക്കുന്നു

അസോസിയേഷൻ കണ്ടെത്തിയാൽ സ്വീകർത്താവ് അത് വ്യക്തമാക്കുന്ന അൽഗോരിതങ്ങൾ പ്രയോഗിക്കുന്നു. റീപ്ലേ പ്രതിരോധം സജീവമാണെങ്കിൽ വിൻഡോയ്ക്ക് പുറത്തുള്ള ക്രമ നമ്പർ നിരസിക്കപ്പെടും. ഇന്റഗ്രിറ്റി പരിശോധന പരാജയപ്പെട്ടാലും പ്രോസസ്സിംഗ് അവസാനിക്കും, കാരണം ICV സ്വീകരിച്ച പാക്കറ്റുമായി പൊരുത്തപ്പെടുന്നില്ല. ഒരു സാഹചര്യത്തിലും ഡീക്രിപ്റ്റ് ചെയ്ത ഉള്ളിലെ പാക്കറ്റ് ഉണ്ടാകുന്നില്ല, അതിനാൽ ഒന്നും റൂട്ടിംഗ്, നയം അല്ലെങ്കിൽ അപ്ലിക്കേഷനിൽ എത്തുന്നില്ല.

ഈ അവസ്ഥകൾക്ക് ഇംപ്ലിമെന്റേഷന്റെ രേഖപ്പെടുത്തിയ പിശകുകളും കൗണ്ടറുകളും ഉപയോഗിക്കുക, എല്ലാ സ്വീകരണ പരാജയത്തെയും ആക്സസ് ലിസ്റ്റ് നിരസിക്കലായി കാണുന്നതിന് പകരം. ട്രാഫിക് കാണുന്നതിനായി ഇന്റഗ്രിറ്റിയോ റീപ്ലേ സംരക്ഷണമോ ഓഫ് ചെയ്യുന്നത് വന്ന പാക്കറ്റ് സാധുവായിരുന്നു എന്ന് തെളിയിക്കുന്നില്ല; സത്യം പറഞ്ഞിരുന്ന പരിശോധന നീക്കം ചെയ്യുന്നു.

UDP പോർട്ട് 4500 ഒരു പാത്രമാണ്, വിധിയല്ല

NAT ട്രാവേഴ്സൽ ESP യെ UDP യ്ക്കുള്ളിൽ കൊണ്ടുപോകുന്നു, അതേ പോർട്ട് IKE, കീപ്പ് അലൈവ് സന്ദേശങ്ങളും കൊണ്ടുപോകുന്നു. അതിനാൽ 4500 ലെ പ്രവർത്തനം എന്തോ പോർട്ട് ഉപയോഗിക്കുന്നു എന്ന് പറയുന്നു, അപ്ലിക്കേഷൻ ESP പാക്കറ്റ് നിർമ്മിച്ചു എന്നല്ല. ഡാറ്റാ ട്രാഫിക്കിലേക്ക് ആരോപിക്കുന്നതിന് മുമ്പ് പേലോഡ് വർഗ്ഗീകരിക്കുക.

ക്യാപ്ചർ ഒരേയൊരു തെളിവായിരിക്കുമ്പോൾ ഇത് പ്രധാനമാണ്. കൃത്യസമയത്ത് എത്തുന്ന കീപ്പ് അലൈവ് സന്ദേശം മരിച്ച ടണലിനെ ജീവനുള്ളതായി കാണിക്കാം, IKE സന്ദേശം ക്യാപ്ചറിനെ യഥാർത്ഥ ഡാറ്റാ പാതയേക്കാൾ തിരക്കുള്ളതായി കാണിക്കാം.

വേർതിരിച്ചെടുത്തതിന് ശേഷം മാത്രമേ റൂട്ടിംഗും നയവും ബാധകമാകൂ

ഡീക്രിപ്ഷൻ വിജയിക്കുമ്പോൾ വീണ്ടെടുത്ത ഉള്ളിലെ പാക്കറ്റ് സാധാരണ പാതയിൽ പ്രവേശിക്കുന്നു: നയ പരിശോധനകൾ, റൂട്ടിംഗ്, ഫോർവേഡിംഗ് നിയമങ്ങൾ, ലക്ഷ്യ ഹോസ്റ്റ്. ഒരു പാക്കറ്റ് എല്ലാ സുരക്ഷാ പരിശോധനകളും കടന്നിട്ടും ഇവിടെ ഉപേക്ഷിക്കപ്പെടാം, മറുപടി പാതയും ഉണ്ടായിരിക്കണം. ആ പരാജയം ഫോർവേഡിംഗിന്റേതാണ്, ESP യുടേതല്ല.

കൗണ്ടറുകളെ അവയുടെ രേഖപ്പെടുത്തിയ ഘട്ടവുമായി ബന്ധിപ്പിച്ച് നിർത്തുക. ഇന്റർഫേസ് സ്വീകരണം, സ്വീകരിച്ച ESP, ഡീക്രിപ്റ്റ് ചെയ്ത ബൈറ്റുകൾ, ഫോർവേഡ് ചെയ്ത ഉള്ളിലെ പാക്കറ്റുകൾ ഇവ ഒരേ സംഖ്യയാകണമെന്നില്ല, പ്രത്യേകിച്ച് ത്വരിതപ്പെടുത്തിയ പാത ഡാറ്റാ പ്ലെയിൻ കൈകാര്യം ചെയ്ത് കൺട്രോൾ പ്ലെയിൻ വെവ്വേറെ റിപ്പോർട്ട് ചെയ്യുമ്പോൾ. പൊതുവായ ഡാഷ്ബോർഡ് ലേബൽ രണ്ട് കൗണ്ടറുകൾ ഒരേ കാര്യം അർത്ഥമാക്കുന്നു എന്നതിന് തെളിവല്ല.

ഒരു പുതിയ അനുവദിച്ച പ്രവർത്തനത്തിന് അവസാനം സ്ഥിരീകരിച്ച അതിരും ആദ്യത്തെ പ്രസക്തമായ പിശകും സൂക്ഷിക്കുക. ആ ജോടി അടുത്ത അഡ്മിനിസ്ട്രേറ്ററിനോട് എന്ത് അന്വേഷിക്കണമെന്ന് പറയുന്നു: ട്രാൻസ്പോർട്ട് ഡെലിവറി, അസോസിയേഷനും ഇന്റഗ്രിറ്റിയും, അല്ലെങ്കിൽ സാധാരണ ഉള്ളിലെ ഫോർവേഡിംഗ്, കൂടാതെ സംഖ്യ നീക്കാൻ ഓരോ നിയമവും അയഞ്ഞതാക്കുന്ന സാധാരണ പരിഹാരത്തെ ഒഴിവാക്കുന്നു.