ESP ирсэн боловч юу ч тайлагдаагүй юу? Ирж буй үе шатуудыг дагаарай

Галт хананы шифрлэлтийн тоолуур өсөж, туннель юу ч хүргэхгүй байхад хандалтын дүрмийг өргөжүүлэх зөн совин төрдөг. Энэ зөн совин хүлээн авагчийн өөрийн шалгалтын дарааллыг алгасдаг. Ирж буй ESP пакет хэд хэдэн үе шатыг туулж, үе шат бүр пакетын амьдралыг өөр шалтгаанаар дуусгаж болно: тохирох ассоциаци байхгүй, давталт эсвэл бүрэн бүтэн байдлын алдаа, эсвэл дотоод пакет хэвийн боловч цааш гарахыг зөвшөөрөхгүй байна. Бүтэлгүйтсэн үе шатыг нэрлэх нь IPsec эвдэрсэн гэсэн бүрхэг мэдэгдлийг тодорхой тоолуур, тодорхой засвар болгоно.

Ирэх нь нэг ажиглалт, гурав биш

ESP гарц руу хүрч байгааг харуулсан гадаад бичлэг нь зөвхөн гадаад пакет ирснийг нотолно. Хүлээн авах нь хүлээн авагч ассоциацийг олж, пакетыг баталгаажуулсан гэсэн үг. Хүргэх нь сэргээсэн дотоод пакет зорилгодоо чиглүүлэгдэж, хариу авсан гэсэн үг. Эдгээр нь тусдаа үр дүн бөгөөд тэдгээрийг нэгтгэдэг самбар нь танд хэрэгтэй мэдээллийг яг нуудаг.

Мөн энэ ялгаа нь түгээмэл тайланг тайлбарладаг: нэг талын шифрлэлтийн тоолуур өсөж, нөгөө тал нь ашигтай тайлагдсан урсгалын талаар мэдэгдэхгүй байна. Хоёр мэдэгдэл нэгэн зэрэг үнэн байж болно, учир нь тэд нэг оролдлогын өөр үе шатыг дүрсэлдэг.

Ассоциацийг хайх нь тайлахаас өмнө явагдана

Хүлээн авагч шаардлагатай бол хэсгүүдийг дахин угсарч, дараа нь пакетын аюулгүй байдлын ассоциацийг олно. Энгийн unicast үед SPI болон очих газар үүнийг сонгоно. Хүчинтэй ассоциаци байхгүй бол цаашид боловсруулалт явагдахгүй, тиймээс хуучирсан эсвэл тохирохгүй SPI нь програмад харагдах алдааны оронд чимээгүй байдал үүсгэдэг.

Ассоциаци нь чиглэлтэй бөгөөд түлхүүр шинэчлэх үед өөрчлөгдөж болно, тиймээс одоогийн гэж үзэж буй ирж буй ассоциацийн хажууд хүлээн авагч тал, SPI болон цагийн тэмдгийг тэмдэглэ. Харуулсан гарах ассоциаци эсвэл эрүүл IKE харилцаа нь энэ пакетыг хүлээн авах ёстой ассоциацийг орлохгүй.

Давталт болон бүрэн бүтэн байдлын шалгалтууд ачаалал үүсэхээс өмнө татгалздаг

Ассоциаци олдсоны дараа хүлээн авагч түүний заасан алгоритмуудыг хэрэглэнэ. Давталтын эсрэг хамгаалалт асаалттай бол цонхны гаднах дарааллын дугаарыг татгалзана. Бүрэн бүтэн байдлын шалгалтын бүтэлгүйтэл мөн боловсруулалтыг дуусгана, учир нь ICV хүлээн авсан пакеттай тохирохгүй байна. Аль ч тохиолдолд тайлагдсан дотоод пакет үүсэхгүй, тиймээс юу ч чиглүүлэлт, бодлого эсвэл програмд хүрэхгүй.

Эдгээр нөхцөлд хэрэгжүүлэлтийн баримтжуулсан алдаа, тоолуурыг ашигла, хүлээн авалтын бүх бүтэлгүйтлийг хандалтын жагсаалтын татгалзал гэж үзэхийн оронд. Урсгал харагдуулахын тулд бүрэн бүтэн байдал эсвэл давталтын хамгаалалтыг унтраах нь ирсэн пакет хууль ёсны байсныг нотлохгүй; үнэнийг хэлж байсан шалгалтыг арилгана.

UDP порт 4500 бол сав, шийдвэр биш

NAT-ын дамжуулалт ESP-г UDP дотор зөөдөг, мөн порт нь IKE болон холболт хадгалах мессежийг зөөдөг. Тиймээс 4500 дээрх идэвхтал нь ямар нэгэн зүйл портыг ашиглаж байгааг хэлнэ, програм ESP пакет үүсгэсэн гэсэн үг биш. Өгөгдлийн урсгалд хамааруулахын өмнө ачааллыг ангил.

Бичлэг цорын ганц нотолгоо байх үед энэ чухал. Хугацаанд нь ирсэн холболт хадгалах мессеж үхсэн туннелийг амьд мэт харагдуулж чадна, IKE мессеж бичлэгийг өгөгдлийн зам үнэхээр байгаагаас илүү завгүй харагдуулж чадна.

Зөвхөн гаргаж авсны дараа чиглүүлэлт, бодлого хэрэгжинэ

Тайлалт амжилттай болбол сэргээсэн дотоод пакет ердийн замд орно: бодлогын шалгалт, чиглүүлэлт, дамжуулалтын дүрэм, очих хост. Пакет бүх аюулгүй байдлын шалгалтыг давж, гэсэн хэдий ч энд хаягдаж болно, мөн хариу зам байх ёстой. Тэр бүтэлгүйтэл нь дамжуулалтад хамаарах бөгөөд ESP-д биш.

Тоолуурыг тэдний баримтжуулсан үе шаттай холбоотой байлга. Интерфейсийн хүлээн авалт, хүлээн авсан ESP, тайлагдсан байт, дамжуулсан дотоод пакетууд ижил тоо байх албагүй, ялангуяа хурдасгасан зам өгөгдлийн хавтгайг хариуцаж, удирдлагын хавтгай тусдаа мэдээлэх үед. Ерөнхий самбарын шошго нь хоёр тоолуур нэг утгатай гэдгийг нотлохгүй.

Нэг шинэ зөвшөөрөгдсөн үйлдлийн хувьд хамгийн сүүлийн баталгаажсан хил болон эхний хамааралтай алдааг хадгал. Тэр хос дараагийн админд юу шалгахыг хэлнэ: тээврийн хүргэлт, ассоциаци ба бүрэн бүтэн байдал, эсвэл ердийн дотоод дамжуулалт, мөн тоог хөдөлгөхийн тулд дүрэм бүрийг зөвшөөрөлтэй болгох ердийн засвараас зайлсхий.