ESP tiba tetapi tiada apa yang dinyahsulit? Ikuti peringkat masuk

Apabila pembilang penyulitan firewall meningkat sementara terowong tidak menghantar apa-apa, naluri ialah meluaskan peraturan akses. Naluri itu melangkau urutan pemeriksaan penerima sendiri. Paket ESP masuk melalui beberapa peringkat, dan setiap satu boleh menamatkan hayat paket atas sebab berbeza: tiada persatuan yang sepadan, kegagalan main semula atau integriti, atau paket dalaman baik tetapi tidak dibenarkan ke hadapan. Menamakan peringkat yang gagal menukar kenyataan kabur bahawa IPsec rosak kepada pembilang tertentu dan pembaikan tertentu.

Ketibaan ialah satu pemerhatian, bukan tiga

Tangkapan luar yang menunjukkan ESP sampai ke gerbang hanya membuktikan paket luar telah tiba. Penerimaan bermakna penerima menemui persatuan dan mengesahkan paket. Penghantaran bermakna paket dalaman yang dipulihkan telah dihalakan ke destinasinya dan dijawab. Itu hasil berasingan, dan papan pemuka yang menggabungkannya menyembunyikan maklumat yang anda perlukan.

Perbezaan yang sama menjelaskan laporan biasa: pembilang penyulitan satu pihak meningkat sementara pihak lain tidak melaporkan trafik dinyahsulit yang berguna. Kedua-dua kenyataan boleh benar serentak, kerana ia menerangkan peringkat berbeza bagi percubaan yang sama.

Carian persatuan berlaku sebelum penyahsulitan

Penerima memasang semula serpihan jika perlu, kemudian mencari persatuan keselamatan bagi paket itu. Dalam unicast biasa, SPI dan destinasi memilihnya. Tanpa persatuan yang sah tiada pemprosesan lanjut, sebab itulah SPI lapuk atau tidak sepadan menghasilkan kesunyian dan bukan ralat yang dilihat aplikasi.

Persatuan adalah berarah dan boleh berubah semasa pembaharuan kunci, jadi catat pihak penerima, SPI dan cap masa di sebelah persatuan masuk yang anda anggap semasa. Persatuan keluar yang dipaparkan, atau hubungan IKE yang sihat, bukan pengganti bagi persatuan yang sepatutnya menerima paket ini.

Pemeriksaan main semula dan integriti menolak sebelum ada muatan

Sebaik persatuan ditemui, penerima menggunakan algoritma yang ditetapkan oleh persatuan itu. Jika perlindungan anti-main semula diaktifkan, nombor jujukan di luar tetingkap ditolak. Kegagalan pemeriksaan integriti juga menamatkan pemprosesan, kerana ICV tidak sepadan dengan paket seperti yang diterima. Tiada kes menghasilkan paket dalaman yang dinyahsulit, jadi tiada apa sampai ke penghalaan, dasar atau aplikasi.

Gunakan ralat dan pembilang berdokumen pelaksanaan untuk keadaan ini dan bukannya menganggap setiap kegagalan penerimaan sebagai penolakan senarai akses. Mematikan integriti atau perlindungan main semula supaya trafik muncul tidak membuktikan paket masuk itu sah; ia membuang pemeriksaan yang memberitahu kebenaran.

Port UDP 4500 ialah bekas, bukan keputusan

Laluan NAT membawa ESP di dalam UDP, dan port yang sama juga membawa mesej IKE dan keepalive. Jadi aktiviti pada 4500 memberitahu sesuatu menggunakan port itu, bukan bahawa aplikasi menghasilkan paket ESP. Kelaskan muatan sebelum mengaitkannya dengan trafik data.

Ini penting apabila tangkapan ialah satu-satunya bukti. Mesej keepalive yang tiba tepat pada masanya boleh membuat terowong mati kelihatan hidup, dan mesej IKE boleh membuat tangkapan kelihatan lebih sibuk daripada laluan data sebenarnya.

Hanya selepas pengekstrakan, penghalaan dan dasar terpakai

Apabila penyahsulitan berjaya, paket dalaman yang dipulihkan memasuki laluan biasa: pemeriksaan dasar, penghalaan, peraturan penghantaran dan hos destinasi. Paket boleh melepasi setiap pemeriksaan keselamatan dan masih digugurkan di sini, dan laluan balasan juga mesti wujud. Kegagalan itu milik penghantaran, bukan ESP.

Kekalkan pembilang terikat pada peringkat berdokumennya. Penerimaan antara muka, ESP yang diterima, bait dinyahsulit dan paket dalaman yang dihantar tidak semestinya nombor yang sama, terutamanya apabila laluan dipercepat mengendalikan satah data dan satah kawalan melapor secara berasingan. Label papan pemuka umum bukan bukti bahawa dua pembilang bermaksud perkara yang sama.

Untuk satu operasi sah yang baharu, simpan sempadan terakhir yang disahkan dan ralat relevan pertama. Pasangan itu memberitahu pentadbir seterusnya apa yang perlu disiasat: penghantaran pengangkutan, persatuan dan integriti, atau penghantaran dalaman biasa, dan ia mengelakkan pembaikan lazim menjadikan setiap peraturan permisif untuk menggerakkan nombor.