Яагаад зөвхөн шифрлэлт дахин илгээсэн пакетыг зогсоодоггүй вэ

Хамгаалагдсан пакетууд криптографын хувьд хугацаа дуусахгүй тул таван минутын өмнө хүчинтэй байсан пакет одоо ч хүчинтэй, учир нь шифрлэлт ба бүрэн бүтэн байдлын хамгаалалт нь байтууд хэзээ үүссэн тухай юу ч хэлэхгүй. Трафикийг барьж аваад дахин илгээж чадах халдагч шифрийг эвдэх шаардлагагүй. Тиймээс бүх ноцтой туннелийн протокол түлхүүрүүдийнхээ хажууд дарааллын төлөв агуулдаг.

Механизм жижиг бөгөөд түүний алдааны горимуудыг пакет алдагдахтай андуурахад хялбар.

Хүчинтэй шифртекст нь шинэ шифртекст биш

Баталгаажуулалт нэг асуултад хариулдаг: эдгээр байтууд түлхүүр эзэмшигчээс өөрчлөгдөөгүй ирсэн үү. Энэ нь хүлээн авагч тэдгээрийг анх удаа харж байгаа эсэхэд хариулдаггүй. Дахин илгээсэн пакет эхний шалгалтыг төгс давдаг тул зөвхөн бүрэн бүтэн байдлын шалгалт дахин илгээлтийг зогсоож чадахгүй бөгөөд протоколд хүлээн авах тухай хоёр дахь дүрэм хэрэгтэй болдог. Зөвхөн баталгаажуулалт хийдэг хүлээн авагч бичлэг барьсан халдагчаас хамгаалалтгүй.

Энэ дүрмийг хэрэгжүүлэх ч, томъёолох ч хямд: өгөгдсөн хамгаалагдсан пакетыг өгөгдсөн түлхүүрийн дор нэг удаа хүлээж ав. Энэ салбарын бусад бүх зүйл хэрэгжүүлэлт тэр нэг удааг хэрхэн хянахаас үүдэлтэй.

Дахин илгээлтийн татгалзлыг тайлах алдаа гэж унших нь таныг огт буруу дэд системд хүргэдэг.

Дарааллын дугаар ба цонх

IPsec ESP дарааллын дугаар агуулдаг бөгөөд хүлээн авагч саяхан хүлээн авсан утгуудын гулсах цонхыг хадгалдаг, харин ESP тодорхойлолт цонхны өгөгдмөл хэмжээ болон түүнийг өргөтгөх боломжийг тайлбарладаг. WireGuard түлхүүр бүрийн тоолуур болон түүний эсрэг тодорхой шалгалт бүхий өөр замаар явдаг. Аль ч загвар пакетууд дарааллаар ирнэ гэж үздэггүй, учир нь бодит сүлжээнүүд тэдгээрийг дахин эрэмбэлдэг. Хоёулаа дахин эрэмбэлэлтийг тэвчих боловч аль нь ч давталтыг тэвчихгүй.

Тэр тэвчээрийг боломжтой болгодог нь цонх юм. Харсан хамгийн өндөр утгаас бага зэрэг хоцорсон пакетыг өмнө нь хүлээж аваагүй бол одоо ч хүлээж авч болно; хамаагүй хоцорсон эсвэл байр нь аль хэдийн тэмдэглэгдсэн пакетыг хаяна. Цонхыг томруулбал нэгдэл бүрт илүү их төлөвийн зардлаар илүү их дахин эрэмбэлэлтийг тэвчинэ.

Оношилгооны тоолуурууд таныг аль тохиолдолд байгааг харуулдаг. Дахин илгээлтийн татгалзал ерөнхий алдаа биш тодорхой тоолуурыг нэмэгдүүлдэг бөгөөд тэр тоолуурыг унших нь анхны ашигтай ажиглалт юм.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Төлөв нь түлхүүрт хамаарна, хостод биш

Тоолуурын төлөв нь аюулгүй байдлын нэгдэл эсвэл түлхүүрийн эрин үетэй холбоотой тул түлхүүрийг солих нь шинэ контекст болон өөрийн дарааллын орон зайг үүсгэдэг. Түлхүүрийг солихгүйгээр тоолуурыг цэвэрлэх эсвэл гараар дахин тохируулсны дараа нэгдлийг дахин ашиглах нь хүлээн авагчийн цонх тулгуурладаг таамаглалыг эвддэг. Тиймээс операторт харагдах дахин тохируулах товчны оронд протоколоор удирдуулсан түлхүүр солилт байдаг.

Гараар оролдсоны дараа туннель муу ажиллавал оролдлого дарааллын төлөвт хүрсэн эсэхийг асуу. Ижил харагдах тохиргоо өөрөөр ажиллаж болно, учир нь өвлөсөн төлөв нь түүний хүлээж буй төлөв биш.

Ямар нэг зүйлийг идэвхгүй болгохын өмнө шалтгааныг оношил

Алдагдал, дахин эрэмбэлэлт, давхардсан трафик болон хэрэгжүүлэлтийн гэмтэл бүгд дахин дамжуулалт хэлбэрээр илэрдэг бөгөөд тэдгээрийн зөвхөн нэг нь дахин илгээлтийн асуудал юм. Чимээг намжаахын тулд шалгалтыг идэвхгүй болгох нь таны найдаж байсан шинж чанарыг арилгаж, анхны шалтгааныг олохыг хүндрүүлдэг, учир нь одоо дахин дамжуулалтуудад ямар ч тайлбар байхгүй.

Хязгаарлагдмал нотолгоо цуглуул: нэгдлийн танигч, дарааллын дугаар, тоолуурыг ачаагүйгээр. Энэ нь хуулбарыг дахин эрэмбэлсэн ирэлтээс ялгахад хангалттай бөгөөд таны оношилгооны файлыг хэрэглэгчийн трафикийн хуулбар болгохгүй.

Шалгалт юу амладаггүй

Дахин илгээлтээс хамгаалалт нь нэг протоколын доторх пакет боловсруулалтын шинж чанар юм. Энэ нь оператор ямар ч бүртгэл хөтлөхгүй, сайт бүртгэлийг таньж чадахгүй эсвэл сесс нэргүй гэсэн үг биш. Тэдгээр нь тусдаа системүүдийн тухай тусдаа асуултууд, бөгөөд хүчирхэг дахин илгээлтийн эсрэг загвар тэдгээрийн аль нэгэнд ч хариулдаггүй.

Дэмжигдсэн тохиргоотой арчилгаатай програм хангамж нь хэрэглэгчид боломжтой практик хяналт юм. Пакетыг протокол хариуцдаг; бусад бүх зүйл үйл ажиллагааны шийдвэр хэвээр үлддэг.