DPD-ийн хариултууд IKE түншийн амьд байгааг нотолж байна, таны өгөгдөл урсаж байгааг биш
Амьд байдлын хариулт, padding-ийн мэдэгдэл, нарийсгасан селекторууд гурван өөр зүйлийг тодорхойлно. Зогсолтыг нэгэнд нь буруутгахаас өмнө тэдгээрийг тус тусад нь уншина уу.
IPsec-ийн бүртгэлүүд урд нь байгаа аппликейшн зогссон ч амьд байдлын хариултыг харуулж болох бөгөөд хоёр баримт нэгэн зэрэг үнэн байж болно. DPD-ийн хариулт нь түншийн IKE боловсруулалт тэр мөчид хариулсныг тогтоодог; хүүхэд SA таны чухал гэж үзсэн пакетыг зөөж байгаа эсэхийг энэ нь огт хэлэхгүй. Гэмтлийн ойролцоох аливаа анхааруулгыг түүний шалтгаан гэж үзэх нь селекторын асуудлыг протоколын алдаа гэж оношлох арга юм. Хамгийн их андуурдаг гурван ажиглалт байдаг бөгөөд тэдгээр нь гурван өөр асуултад хариулдаг. Тэдгээрийг цагийн тэмдэгээр уншихаас өмнө холбоо, зорилгоор нь уншина уу.
Ажиглалт бүр юуг нотолдог
Хүснэгт нь ажиглалт бүрийн юуг тогтоодог, зөвхөн юугаар дагалддаг хоёрыг ялгадаг.
| Observation | What it establishes | What it leaves open |
|---|---|---|
| DPD replies arrive | The peer's IKE process answered | The child SA, forwarding path and application reply |
| TFC padding notification | The peer will not accept padding for that child SA | Whether ordinary ESP protection still works, which it does |
| Selectors reported as narrowed | The accepted traffic set is a subset of the offer | Whether the subset includes the flow the user needs |
Гурвын аль нь ч өөрөө алдаа биш. Аль нь ч зөвхөн таны засаж буй урсгалын дэргэд сонирхолтой болдог бөгөөд тодорхой урсгалтай холбож болохгүй мөр нь нотолгоо биш, орчин юм.
Амьд байдал нь өгөгдлийн эрүүл мэнд биш
DPD нь INFORMATIONAL солилцоо, өөрөөр хэлбэл IKE демонуудын хоорондын удирдлагын хавтгайн яриа хэлбэрээр ажилладаг. Хариулт нь түншийн IKE процесс хүрч болох, хариулах бэлэн байгааг нотолж, хугацаа дуусах нь тийм биш гэдгийг нотолдог. Аль ч үр дүн хүүхэд SA, селекторууд, дамжуулах зам, аппликейшний хариултыг шалгадаггүй тул зогссон дамжуулалтын дэргэд эрүүл DPD нь зөрчил биш, уялдаатай дүр зураг юм.
Тиймээс амьд байдлын мөрүүд бүртгэлийн дээд хэсэгт хэр тайвшруулах байсан ч өгөгдлийн хавтгайн тасалбарын хамгийн бага ашигтай хэсэг юм.
Padding-ийн мэдэгдэл нь padding-ийн тухай мэдэгдэл
TFC padding нь эдгээр бүртгэлд хамгийн их хэтрүүлэн уншдаг мөр. Энэ нь трафикийн урсгалын нууцлалын padding тэр хүүхэд SA-д хүлээн авахгүй гэж хэлдэг бөгөөд энэ нь ESP хамгаалалтаас татгалзсан биш, сонголтоор padding функцийн тухай мэдэгдэл юм. Үүнийг гэмтлийн ойролцоо олох нь ихэвчлэн үглээний санамсаргүй тохиол, padding-ийг асаах эсвэл унтраах нь селекторын хамрах хүрээнд юу ч өөрчлөхгүй.
IKEv2-ын техникийн үзүүлэлт нь мэдэгдэл болон селекторын хэлэлцээрийг хоёуланг нь тодорхойлдог бөгөөд хэрэгжүүлэлтийн анхааруулгын шошго хоёр тохиолдлын аль нэгэнд протоколын утгыг орлохгүй.
Нарийсгал нь илүү нам гүм бөгөөд чухал байх магадлал өндөр
Хариулагч нь санал болгосон селекторуудын дэд олонлогийг хүлээн авч болох бөгөөд хүлээн авсан олонлогийг хэд хэдэн бичлэгээр хэвлэж болно, нэг нь портоор мэргэшсэн, нөгөө нь бүх портыг хамардаг. Зөвхөн эхний портоор мэргэшсэн мөрийг унших нь хүлээн авсныг багасгаж, зөвхөн өргөн мөрийг унших нь хэтрүүлдэг. Хэвлэсэн саналыг суулгасан бодлоготой харьцуул, учир нь санал бол түншүүдийн хэлсэн зүйл, бодлого нь цөм тааруулах зүйл юм. Тэд саарах үед туннель байгаа бөгөөд трафик байхгүй, энэ нь ердийн хааяа гомдол юм. Түншүүдийг харьцуулахдаа орон нутгийн болон алсын харах өнцгийг эргүүл, учир нь тал бүрийн орон нутгийн нь нөгөөгийн алсын юм.
Портын хязгаарлалттай хостод хамаарах бичлэгүүдийг хоёр удаа унших нь зүйтэй, учир нь тэдгээр нь ICMP эсвэл хоёр дахь портыг хасаж, гарц руу ping ажиллахыг үргэлжлүүлдэг.
Бүтэлгүйтэж буй урсгалд нэг бичлэг үүсгэ
Эх сурвалж, очих газар, хаягийн гэр бүл, протокол, портыг хамгаалалтын шийдвэрт харагдах байдлаар нь бүртгэ, үүнд санаатай хийсэн аливаа орчуулга багтана. Эдгээр нь селектортой тохирох ёстой утгууд бөгөөд тасалбар гурав дахь гарт хүрэхэд хүмүүс ой санамжаас дахин бичдэг утгууд юм.
Дараа нь хүүхэд SA болон түүний чиглэлийн тоолууруудыг тодорхойл: swanctl --list-sas нь strongSwan хост дээр холбооны хураангуйг өгдөг, ip -s xfrm state нь тоолууруудыг өгдөг. Тэдгээрийг систем сул зогссон үед биш, шинээр зөвшөөрөгдсөн хүсэлтийн дараа унш. Гарч буй трафикт өсөлт байхгүй нь сонголт эсвэл орон нутгийн зам руу заана; харгалзах орж ирэхгүйгээр гарч байгаа нь түнш, түүний дамжуулалт эсвэл түүний хариултууд руу заана.
Дууссан аппликейшний солилцоо нь аль ч тоолуураас дээгүүр байдаг тул туршилт туннелийн заагч дээр биш, аппликейшн дээр дуусах ёстой.
Дараа нь засварыг сонго
Зөвхөн тэр бичлэг байгаа тохиолдолд л сонгох засвар байна: хүлээн авсан селекторууд, маршрут, шүүлтүүр, түншийн хэрэгжүүлэлт эсвэл одоо харуулсан хил. Түншийг дахин тохируулах нь хэд хэдэн төлөвийг нэгэн зэрэг өөрчилж, аль нь буруу байсныг тайлбарлахгүйгээр трафикийг ихэвчлэн сэргээдэг тул гэмтэл буцаж ирдэг. Цөмийн төлөвийн дампуудыг тасалбараас гадуур байлга, учир нь тэдгээрт түлхүүр байж болох бөгөөд туслах шаардлагатай хүнд товч хураангуй хангалттай.
Бичлэг таны эхний онолтой зөрчилдөж байвал бичлэгт итгэж, онолыг дахин бич; тэр зуршил энд хэлэлцсэн аль ч ганц бүртгэлийн мөрөөс илүү үнэ цэнэтэй.