ESP आले पण काहीच डिक्रिप्ट झाले नाही? इनबाउंड टप्पे अनुसरा

फायरवॉलचा एन्क्रिप्शन काउंटर वाढत असताना टनेल काहीही पोहोचवत नसेल, तेव्हा प्रवेश नियम रुंदावण्याची प्रवृत्ती येते. ती प्रवृत्ती प्राप्तकर्त्याचा स्वतःचा तपासणी क्रम वगळते. इनबाउंड ESP पॅकेट अनेक टप्प्यांतून जाते आणि प्रत्येक टप्पा वेगळ्या कारणाने पॅकेटचे आयुष्य संपवू शकतो: जुळणारे असोसिएशन नाही, रीप्ले किंवा इंटिग्रिटी अपयश, किंवा आतील पॅकेट ठीक आहे पण पुढे परवानगी नाही. अपयशी झालेल्या टप्प्याला नाव दिल्यास IPsec खराब आहे असे अस्पष्ट विधान विशिष्ट काउंटर आणि विशिष्ट दुरुस्तीत बदलते.

आगमन हे एक निरीक्षण आहे, तीन नाही

ESP गेटवेपर्यंत पोहोचते हे दाखवणारे बाहेरील कॅप्चर फक्त बाहेरील पॅकेट आले हे सिद्ध करते. स्वीकृती म्हणजे प्राप्तकर्त्याने असोसिएशन शोधले आणि पॅकेटची पडताळणी केली. वितरण म्हणजे पुनर्प्राप्त आतील पॅकेट त्याच्या गंतव्याकडे राउट झाले आणि उत्तर मिळाले. हे वेगवेगळे निकाल आहेत, आणि ते एकत्र दाखवणारा डॅशबोर्ड तुम्हाला आवश्यक असलेलीच माहिती लपवतो.

हेच फरक एका सामान्य अहवालाचे स्पष्टीकरण देतात: एका बाजूचा एन्क्रिप्शन काउंटर वाढतो तर दुसरी बाजू कोणताही उपयुक्त डिक्रिप्ट झालेला रहदारी नोंदवत नाही. दोन्ही विधाने एकाच वेळी खरी असू शकतात, कारण ती एकाच प्रयत्नाचे वेगवेगळे टप्पे वर्णन करतात.

असोसिएशनचा शोध डिक्रिप्शनपूर्वी होतो

प्राप्तकर्ता गरज असल्यास तुकडे पुन्हा जोडतो, नंतर पॅकेटचे सुरक्षा असोसिएशन शोधतो. सामान्य युनिकास्टमध्ये SPI आणि गंतव्य ते निवडतात. वैध असोसिएशन नसल्यास पुढील प्रक्रिया होत नाही, म्हणून जुने किंवा न जुळणारे SPI ॲप्लिकेशनला दिसणाऱ्या त्रुटीऐवजी शांतता निर्माण करते.

असोसिएशन दिशात्मक असतात आणि की नूतनीकरणात बदलू शकतात, म्हणून तुम्ही वर्तमान मानता त्या इनबाउंड असोसिएशनच्या शेजारी प्राप्तकर्ता पीअर, SPI आणि वेळेची खूण नोंदवा. दाखवलेले आउटबाउंड असोसिएशन किंवा निरोगी IKE संबंध हे पॅकेट घ्यायला हवे त्या असोसिएशनचा पर्याय नाही.

रीप्ले आणि इंटिग्रिटी तपासण्या पेलोड तयार होण्यापूर्वीच नाकारतात

असोसिएशन सापडल्यावर प्राप्तकर्ता त्याने निर्दिष्ट केलेले अल्गोरिदम लागू करतो. रीप्ले प्रतिबंध सक्रिय असल्यास विंडोबाहेरील क्रमांक नाकारला जातो. इंटिग्रिटी तपासणीचे अपयशही प्रक्रिया संपवते, कारण ICV प्राप्त झालेल्या पॅकेटशी जुळत नाही. कोणत्याही स्थितीत डिक्रिप्ट झालेले आतील पॅकेट तयार होत नाही, म्हणून काहीही राउटिंग, धोरण किंवा ॲप्लिकेशनपर्यंत पोहोचत नाही.

या स्थितींसाठी अंमलबजावणीच्या नोंदवलेल्या त्रुटी आणि काउंटर वापरा, प्रत्येक प्राप्ती अपयशाला प्रवेश-सूची नकार मानण्याऐवजी. रहदारी दिसण्यासाठी इंटिग्रिटी किंवा रीप्ले संरक्षण बंद करणे हे आलेले पॅकेट कायदेशीर होते हे सिद्ध करत नाही; ते सत्य सांगणारी तपासणी काढून टाकते.

UDP पोर्ट 4500 हे पात्र आहे, निवाडा नाही

NAT ट्राव्हर्सल ESP ला UDP मध्ये घेऊन जाते, आणि तोच पोर्ट IKE आणि किपअलाइव्ह संदेशही घेऊन जातो. त्यामुळे 4500 वरील हालचाल म्हणजे काहीतरी पोर्ट वापरत आहे, ॲप्लिकेशनने ESP पॅकेट तयार केले असे नाही. डेटा रहदारीला जोडण्यापूर्वी पेलोडचे वर्गीकरण करा.

कॅप्चर हाच एकमेव पुरावा असेल तेव्हा हे महत्त्वाचे आहे. वेळेवर येणारा किपअलाइव्ह संदेश मृत टनेल जिवंत दिसू शकतो, आणि IKE संदेश कॅप्चरला खऱ्या डेटा मार्गापेक्षा जास्त व्यस्त दाखवू शकतो.

बाहेर काढल्यानंतरच राउटिंग आणि धोरण लागू होतात

डिक्रिप्शन यशस्वी झाल्यावर पुनर्प्राप्त आतील पॅकेट सामान्य मार्गात प्रवेश करते: धोरण तपासण्या, राउटिंग, फॉर्वर्डिंग नियम आणि गंतव्य होस्ट. पॅकेट सर्व सुरक्षा तपासण्या पार करूनही येथे सोडले जाऊ शकते, आणि उत्तर मार्गही असणे आवश्यक आहे. ते अपयश फॉर्वर्डिंगचे आहे, ESPचे नाही.

काउंटर त्यांच्या नोंदवलेल्या टप्प्याशी जोडून ठेवा. इंटरफेस प्राप्ती, स्वीकृत ESP, डिक्रिप्ट झालेले बाइट आणि फॉर्वर्ड केलेले आतील पॅकेट एकच संख्या असतील असे नाही, विशेषतः जेव्हा वेगवान मार्ग डेटा प्लेन सांभाळतो आणि नियंत्रण प्लेन वेगळे नोंदवते. सामान्य डॅशबोर्ड लेबल दोन काउंटर एकच अर्थ देतात याचा पुरावा नाही.

एका नव्या अधिकृत कामासाठी शेवटची पुष्टी झालेली सीमा आणि पहिली संबंधित त्रुटी ठेवा. ती जोडी पुढील प्रशासकाला काय तपासायचे ते सांगते: वाहतूक वितरण, असोसिएशन आणि इंटिग्रिटी, किंवा सामान्य आतील फॉर्वर्डिंग, आणि संख्या हलवण्यासाठी प्रत्येक नियम सैल करण्याच्या नेहमीच्या दुरुस्ती टाळते.