Гарах ESP хариу өгөхгүй байх нь VPN үхсэн гэсэн үг биш
ESP нэг ассоциацын нэг чиглэлийг хамгаалж, юуг ч баталгаажуулдаггүй. Серверийг хариу өгөхгүй гэж нэрлэхийн өмнө дотоод харилцаа болон ирж буй SA-г тулгаж үзээрэй.
Та IPsec хост дээр урсгалыг барьж авч, ESP багцууд гарч байгааг харсан боловч буцаж ирэх зүйл харагдаагүй, алслагдсан тал эвдэрсэн гэж дүгнэсэн. Барилт энэ дүгнэлтийг батлахгүй. ESP харилцааны нэг чиглэлийг хамгаалж, IP давхаргад юуг ч баталгаажуулахгүй, тиймээс буцах ESP байхгүй нь апп-д хэлэх зүйл байгаагүй гэсэн үг ч байж болно, туннель үхсэн гэсэн үг ч байж болно. Аль ч талыг буруутгахаас өмнө дотоод солилцоо болон хүлээн авах талын төлөвийг уншаарай.
Домог: хамгаалагдсан багц бүр хариу авдаг
ESP бол хүсэлт-хариу протокол биш. Тэрээр бодлогоор сонгогдсон бүхнийг шифрлэж баталгаажуулдаг бөгөөд хүлээн авагч тэр дотоод багцыг өөрөө багц үүсгэлгүйгээр шалгаж, тайлж, хүргэдэг. Очих газар нь үл хайхран үлдээсэн UDP асуулга, эсвэл ирж буй бодлогоос хасагдсан ICMP цуурай хоёр чиглэлд чимээгүй байдлыг зөв үр дүн болгон үүсгэдэг. Тэр чимээгүй байдлыг тээврийн эвдрэл гэж үзэх нь хэзээ ч байгаагүй сүлжээний гэмтлийг хайхад хүргэдэг.
Нэг чиглэлийн барилт үнэндээ илэрхийлж байгаа нь илгээгчийн стек тэр ажиглалтын цэг дээр ямар нэг зүйлийг шифрлэсэн гэсэн үг юм. Ирсэн эсэх, хариу өгөх санаа байсан эсэхийн талаар юу ч биш. Хэрэгтэй асуулт нь „яагаад хариу байхгүй“ биш, харин „дотоод харилцаа юу үүсгэх ёстой байсан“ гэдэг асуулт юм.
Хоёр SA, хоёр SPI, нэг харилцаа
IPsec аюулгүй байдлын ассоциацууд нэг чиглэлтэй тул ердийн хамгаалагдсан солилцоо нь тусдаа танигч, бие даасан төлөвтэй ирж буй ассоциац ба гарч буй ассоциацыг ажиллуулдаг. Гарч буй багцын SPI-г буцах урсгалаас хайх нь ангиллын алдаа, учир нь аливаа хариу нөгөө талын өөрийн гарч буй SA-ийн дор өөрийн SPI-тэй явдаг. Оронд нь урсгалын селектор болон нөгөө талын хаягаар хосыг тааруулаарай.
Түлхүүр солилт хэдхэн секундын турш зургийг төвөгтэй болгоно, учир нь хуучин ба орлуулах төлөв давхцаж болно. Шинж тэмдэг түлхүүр солилтын үед эхэлсэн бол зөвхөн холболтын нэрийг биш, ассоциацын танигч ба цагийн тэмдгийг хамт цуглуулаарай.
Ямар нэгэн зүйл хариу өгөхийн өмнө хүлээн авагч юу хийх ёстой вэ
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Мөр бүр бие даан бүтэлгүйтдэг бөгөөд бүтэлгүйтэл бүр өөр эзэнтэй тул ганц барилт тэдгээрийг ялгаж чадахгүй. Ирж буй тоолуур нь ирсний цорын ганц шууд нотолгоо, учир нь баталгаажуулалт эсвэл давталтын шалгалтад тэнцээгүй багц ямар ч хариугүйгээр хасагддаг. Иймээс ирж буй тоолуур хөдөлөөгүй нөгөө тал өөрийн бодлогын талаар танд ямар ч мэдээлэл өгөхгүй байна.
Хүргэлт нь тайлахаас тусдаа алхам. Төлөв хүчинтэй байж болох ч багц дараа нь ирж буй бодлогоор эсвэл дотоод очих газрыг оруулаагүй замаар хасагдаж болно, тиймээс цэвэр тоолуур нь багц хүссэн газартаа очсон гэж үзэхийн оронд зорилтот хост нээлттэй текстийг харсан эсэхийг шалгаарай.
Төрөлх ESP нь UDP биш
Төрөлх ESP нь IP протокол 50 бөгөөд энэ нь TCP ч биш, UDP ч биш, порт огт байхгүй. Тиймээс UDP 500 дээр IKE-г зөвшөөрсөн галт ханын дүрэм өгөгдлийн замын тухай юу ч хэлэхгүй, портыг тойруулан бичсэн шүүлтүүр туннелийг хэлэлцэхийг зөвшөөрөөд дотор нь зөөж буй бүхнийг хаяж болно. Өгөгдлийн замыг та бодитоор ажигласан горимд нь тусад нь шалгаарай.
NAT-ийн ард зураг өөрчлөгдөнө: хамгаалагдсан ачаа UDP дотор, ихэвчлэн 4500 порт дээр, RFC 3948-д тодорхойлсны дагуу явдаг. Ямар ч дүрэм бичихийн өмнө идэвхтэй горимыг тэмдэглээрэй, учир нь зам дээрх төхөөрөмж төрөлх ESP болон UDP-д ороосон ESP-г огт өөрөөр харьцаж болох бөгөөд зарим завсрын төхөөрөмж нэгийг зөвшөөрч нөгөөг нь хаядаг.
Энэ тохиолдолд хамаарах тоолууруудыг уншаарай
strongSwan хост дээр swanctl --list-sas ассоциац бүрийн багц, байтын тоолуурыг хоёр чиглэлд мэдээлдэг бөгөөд энэ нь „хэзээ ч ирээгүй“ ба „ирсэн боловч хариу өгөөгүй“-г ялгахад хангалттай. Linux дээр /proc/net/xfrm_stat дутуу төлөв, дутуу бодлого, протоколын алдаа зэрэг нийлбэр бүтэлгүйтлийг тоолдог. Тэдгээр нийлбэр нь ачилтаас хойш хуримтлагдаж, нэг сүлжээний нэрний орон зайд хамаардаг тул том тоо нь хамааруулалт биш.
Зөв нэрний орон зайд тохиолдлын цонхыг тойруулан хоёр уншилт авч зөрүүг харьцуулаарай, эс бөгөөс өнгөрсөн долоо хоногийн алдааг өнөөдрийн тасалбарт хамааруулна. Нэрний орон зай болон хоёр цагийн тэмдгийг тасалбарт бичээрэй, ингэснээр дараагийн уншигч нийлбэрт итгэхийн оронд харьцуулалтыг давтаж чадна.
Үе шатыг нэрлэ, сэжигтнийг биш
Хэрэгтэй дүгнэлт багц хаана зогссоныг хэлнэ: хэзээ ч ирээгүй, ирсэн боловч хасагдсан, хүргэгдсэн боловч хариугүй, эсвэл хариу өгөөд буцах замд алдагдсан. Эдгээр тус бүр өөр эзэн, өөр дараагийн командыг заана. „VPN серверээс хариу байхгүй“ гэдэг нь дөрвөн ялгаатай гэмтлийг барилт хэзээ ч зөвтгөөгүй нэг өгүүлбэрт шахаж байна.
Барилтуудыг нарийн байлгаж, цөмийн түүхий төлөвийг тасалбарт бүү хий, учир нь тэр хостээс гарах ёсгүй түлхүүрийн материал агуулж болно. Тоолуурын зөрүү ба цагийн тэмдгүүд нь дараагийн хүнд өгөх үнэ цэнэтэй хэсгүүд юм.