ESP wasal imma xejn ma ġie deċifrat? Segwi l-istadji tad-dħul

Meta l-kontatur tal-kriptaġġ ta' firewall jogħla filwaqt li t-tunnel ma jwassal xejn, l-istint hu li twessa' regola ta' aċċess. Dak l-istint jaqbeż is-sekwenza tal-verifiki tal-wieħed li jirċievi. Pakkett ESP tad-dħul jgħaddi minn bosta stadji, u kull wieħed jista' jtemm il-ħajja tal-pakkett għal raġuni differenti: l-ebda assoċjazzjoni li taqbel, falliment fir-ripetizzjoni jew fl-integrità, jew pakkett intern li huwa sew imma mhux permess 'il quddiem. Li ssemmi l-istadju li falla jbiddel dikjarazzjoni vaga li IPsec huwa mħarbat f'kontatur speċifiku u tiswija speċifika.

Il-wasla hija osservazzjoni waħda, mhux tlieta

Qabda esterna li turi li ESP jasal sal-gateway tipprova biss li l-pakkett ta' barra wasal. L-aċċettazzjoni tfisser li dak li jirċievi sab l-assoċjazzjoni u vvalida l-pakkett. Il-kunsinna tfisser li l-pakkett intern irkuprat ġie routat lejn id-destinazzjoni tiegħu u ġie mwieġeb. Dawn huma riżultati separati, u dashboard li jgħaqqadhom jaħbi eżattament l-informazzjoni li għandek bżonn.

L-istess distinzjoni tispjega rapport komuni: il-kontatur tal-kriptaġġ ta' naħa jogħla filwaqt li l-oħra ma tirrappurtax traffiku deċifrat utli. Iż-żewġ dikjarazzjonijiet jistgħu jkunu veri fl-istess ħin, għax jiddeskrivu stadji differenti tal-istess tentattiv.

It-tfittxija tal-assoċjazzjoni ssir qabel id-deċifrar

Dak li jirċievi jerġa' jgħaqqad il-frammenti jekk ikun hemm bżonn, imbagħad isib l-assoċjazzjoni tas-sigurtà għall-pakkett. Fl-unicast ordinarju l-SPI u d-destinazzjoni jagħżluha. Mingħajr assoċjazzjoni valida ma jkunx hemm aktar ipproċessar, għalhekk SPI qadim jew li ma jaqbilx jipproduċi silenzju minflok żball li l-applikazzjoni tara.

L-assoċjazzjonijiet huma direzzjonali u jistgħu jinbidlu waqt tiġdid tal-keys, għalhekk innota l-parti li tirċievi, l-SPI u l-marka tal-ħin ħdejn l-assoċjazzjoni tad-dħul li taħseb li hija kurrenti. Assoċjazzjoni tal-ħruġ murija, jew relazzjoni IKE f'saħħitha, mhijiex sostitut għal dik li għandha tirċievi dan il-pakkett.

Il-verifiki tar-ripetizzjoni u tal-integrità jirrifjutaw qabel ma jeżisti payload

Ladarba tinstab assoċjazzjoni, dak li jirċievi japplika l-algoritmi li tispeċifika dik l-assoċjazzjoni. Jekk il-protezzjoni kontra r-ripetizzjoni hija attiva, numru tas-sekwenza barra mit-tieqa jiġi rrifjutat. Falliment tal-verifika tal-integrità jtemm ukoll l-ipproċessar, għax l-ICV ma jaqbilx mal-pakkett kif wasal. L-ebda każ ma jipproduċi pakkett intern deċifrat, allura xejn ma jasal għar-routing, għall-politika jew għall-applikazzjoni.

Uża l-iżbalji u l-kontaturi dokumentati tal-implimentazzjoni għal dawn il-kundizzjonijiet minflok ma tittratta kull falliment tar-riċeviment bħala rifjut tal-lista tal-aċċess. L-ittfi tal-integrità jew tal-protezzjoni kontra r-ripetizzjoni biex jidher it-traffiku ma jipprovax li l-pakkett li daħal kien leġittimu; jneħħi l-verifika li kienet tgħid il-verità.

Il-port UDP 4500 huwa kontenitur, mhux verdett

It-traversija NAT iġġorr ESP ġewwa UDP, u l-istess port iġorr ukoll messaġġi IKE u keepalive. Għalhekk l-attività fuq 4500 tgħid li xi ħaġa qed tuża l-port, mhux li l-applikazzjoni pproduċiet pakkett ESP. Ikklassifika l-payload qabel ma tattribwih lit-traffiku tad-data.

Dan huwa importanti meta l-qabda hija l-unika prova disponibbli. Messaġġ keepalive li jasal fil-ħin jista' jagħmel tunnel mejjet jidher ħaj, u messaġġ IKE jista' jagħmel qabda tidher aktar impenjata milli huwa r-realtà l-passaġġ tad-data.

Biss wara l-estrazzjoni japplikaw ir-routing u l-politika

Meta d-deċifrar jirnexxi, il-pakkett intern irkuprat jidħol fil-passaġġ normali: verifiki tal-politika, routing, regoli tat-trasferiment u l-host tad-destinazzjoni. Pakkett jista' jgħaddi kull verifika tas-sigurtà u xorta jiġi skartat hawn, u l-passaġġ tar-risposta wkoll irid ikun jeżisti. Dak il-falliment jappartjeni lit-trasferiment, mhux lil ESP.

Żomm il-kontaturi marbutin mal-istadju dokumentat tagħhom. Riċeviment tal-interface, ESP aċċettat, bytes deċifrati u pakketti interni trasferiti m'għandhomx għalfejn ikunu l-istess numru, speċjalment meta passaġġ aċċellerat jamministra l-pjan tad-data u l-pjan tal-kontroll jirrapporta separatament. Tikketta ġenerika tad-dashboard mhijiex prova li żewġ kontaturi jfissru l-istess ħaġa.

Għal operazzjoni awtorizzata waħda ġdida, żomm l-aħħar limitu kkonfermat u l-ewwel żball rilevanti. Dak il-par jgħid lill-amministratur li jmiss x'għandu jinvestiga: kunsinna tat-trasport, assoċjazzjoni u integrità, jew trasferiment intern ordinarju, u jevita s-soltu tiswija li kull regola ssir permissiva biex jiċċaqlaq numru.