ESP menyahsulit dengan baik dan paket dalaman tetap tidak sampai ke mana-mana

Kaunter penerimaan ESP meningkat, terowong kekal hidup, dan aplikasi tidak pernah melihat paket itu. Penyahsulitan berjalan, pengesahan integriti lulus, dan kemudian penerima perlu memutuskan apa sebenarnya muatan yang dilindungi. Pada langkah terakhir itulah ketidakpadanan format muncul, dan dari luar ia sama sekali tidak kelihatan seperti masalah tembok api.

Apa yang anda lihat apabila label berbohong

Tiada apa-apa dalam log klien yang membezakannya daripada lubang hitam penghalaan. Kedua-duanya menghasilkan tamat masa aplikasi di sebelah terowong yang sihat, sebab itulah kaunter disalahkan dahulu.

Kaunter penerimaan yang meningkat memang berita baik: paket tiba dan disahkan. Ia bukan bukti bahawa paket dalaman itu masuk akal bagi apa-apa di atas lapisan kripto.

Jenisnya tinggal dalam treler

Dalam mod terowong IPsec biasa, muatan yang dilindungi ESP mengandungi paket IP dalaman yang lengkap. Medan pengepala seterusnya dalam treler menentukan apa muatan itu, dan ia bukan port TCP, bukan nombor protokol dalam pengepala luar, dan bukan bahagian medan SPI serta nombor jujukan awal. RFC 4303 bahagian 2.6 mentakrifkannya sebagai medan jenis muatan, iaitu nama yang tepat untuk tugas yang tepat.

Nilai yang akan anda temui kecil dan wajar diingati: IPv4 ialah 4 (0x04) dan IPv6 ialah 41 (0x29).

Nombor itu datang daripada peruntukan nombor protokol IANA, bukan daripada konvensyen tempatan. Penghantar yang mengisytiharkan IPv4 sambil membungkus paket IPv6 telah menghasilkan ketidakpadanan format, dan tiada peraturan tembok api membaiki bait yang bercanggah dengan labelnya sendiri.

Cara membezakannya daripada suspek biasa

Kebanyakan paket yang hilang bukan kecacatan pengekodan. Periksa pemilih dahulu, kerana pemilih trafik yang mengecualikan awalan IPv6 membuang trafik sebelum apa-apa dikapsulkan. Kemudian periksa penghalaan, kemudian penapisan tempatan pada hos penerima. Hanya selepas itu dikecualikan, ketidakpadanan format muatan menjadi penjelasan yang munasabah.

Tangkapan tersulit tidak akan menyelesaikannya, kerana pengepala seterusnya yang dilindungi terletak di dalam muatan tersulit. Anda memerlukan diagnostik pelaksanaan atau titik pemerhatian dinyahsulit yang disokong, dan kedua-duanya memerlukan kebenaran sebelum digunakan.

Jika tiada siapa dapat mengemukakan bukti itu, anda tidak mempunyai pepijat format. Anda mempunyai teori, dan pemilih kekal sebagai pertaruhan yang lebih baik.

Apa yang bukan pembaikan

Jangan matikan pemeriksaan integriti supaya trafik lulus. Jangan tulis semula paket tersulit pada penghala perantaraan, kerana itu tidak boleh berfungsi dan akan merosakkan aliran sambil kelihatan membantu dalam tangkapan. Jangan buka peraturan tembok api aplikasi yang lebih luas atas teori bahawa port disekat. Tiada satu pun daripada itu menyentuh ketidakpadanan label.

Jika ketidakpadanan yang disahkan datang daripada pelaksanaan rakan, simpan pembiakan minimum yang telah dibersihkan dan bawa ke saluran sokongan pelaksanaan itu.

Sahkan aliran, bukan kaunter

Selepas pembetulan, uji aliran IPv6 sebenar dari hujung ke hujung: permintaan aplikasi melalui terowong, balasannya, dan pasangan alamat yang diperhati oleh setiap pihak. Kaunter ESP yang meningkat hanya membuktikan paket diterima dan disahkan. Ia tidak mengatakan apa-apa tentang sama ada paket dalaman itu boleh digunakan.

Catat kedua-dua keputusan dalam tiket. Pergerakan kaunter serta aliran yang berfungsi ialah pembaikan; pergerakan kaunter sahaja ialah tepat apa yang anda ada sebelum bermula.