Kemm-il checksum għandu pakkett VPN? Jiddependi

L-argument li pakkett VPN iġorr eżattament żewġ checksums jinstema' pulit u huwa spiss biżżejjed żbaljat biex jixraqlu jitqatta' biċċiet. In-numru jiddependi minn liema verżjonijiet tal-IP jidhru, liema protokoll tat-trasport jinġarr u liema format ta' protezzjoni juża t-tunnel. Checksum tal-intestatura, checksum tal-livell ta' fuq u tikketta kriptografika tal-integrità huma tliet mekkaniżmi bi tliet ambjiet. Li tgħoddhom jibda billi timmarka x'ikopri kull wieħed minnhom.

Iċċekkja liema verżjonijiet tal-IP huma tabilħaqq fuq il-wajer

L-intestaturi IPv4 iġorru checksum tal-intestatura ta' 16-il bit, u l-intestaturi IPv6 ma jġorru xejn simili. Dan il-fatt wieħed ibiddel in-numru għal kull tunnel, għax l-ippakkjar ta' IPv4 ġewwa IPv6 u ta' IPv6 ġewwa IPv4 jipproduċi dokumenti differenti. Tunnel jista' jġorr iż-żewġ familji f'daqqa, u f'dak il-każ direzzjoni waħda tista' jkollha qasam li l-oħra m'għandhiex. Iddetermina l-verżjonijiet qabel ma tgħodd xejn.

Ikteb it-tqassim bħala lista ta' intestaturi u mhux bħala stampa. L-ordni hija importanti meta taqra qabda, u l-preżenza jew in-nuqqas tal-qasam tax-checksum hija l-ewwel ħaġa li għandha tiġi mmarkata.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

L-ewwel linja m'għandhiex checksum tal-intestatura IP imkien fl-intestaturi IP tagħha, filwaqt li t-tieni waħda għandha tnejn meta ż-żewġ intestaturi huma IPv4. L-istess teknoloġija tat-tunnel, numru differenti, u l-ebda waħda mil-linji mhija format tal-wajer komplet.

Iċċekkja x'ikopri kull checksum

Il-kopertura hija l-parti li n-nies jaqbżu, u hija dik li tagħmel numru sinifikanti. Iċ-checksum tal-intestatura IPv4 jipproteġi l-intestatura u xejn aktar, għalhekk ma jgħid xejn dwar it-tagħbija warajha. Iċ-checksum UDP fuq IPv6 ikopri pseudo-intestatura flimkien mal-intestatura u t-tagħbija UDP, li jfisser li jasal fil-pakkett li jinġarr meta d-datagramma tiġi tunnelata. TCP għandu ċ-checksum tiegħu b'dipendenza simili mill-pseudo-intestatura. Dawk huma tliet ambjiet differenti għalkemm it-tlieta jissejħu checksums.

RFC 791 jiddefinixxi l-verifika tal-intestatura IPv4 u l-kalkolu mill-ġdid tagħha f'kull qabża, u RFC 8200 jiddefinixxi t-trattament tal-livell ta' fuq fuq IPv6 inkluża l-pseudo-intestatura. L-ebda dokument ma jgħid li pakkett VPN għandu numru fiss ta' checksums, għax l-ebda wieħed ma jiddeskrivi tunnel.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Iċċekkja l-protezzjoni tal-integrità separatament

L-integrità ESP hija protezzjoni kriptografika bil-kopertura tagħha u rappreżentazzjoni li tiddependi mill-algoritmu. Mhijiex checksum tal-IP jew UDP taħt isem ieħor, u t-tul tagħha jvarja skont il-kostruzzjoni magħżula. Verifika tal-integrità tkopri porzjon definit tal-pakkett, li skont il-modalità tista' tinkludi l-intestatura ESP u parti mit-tagħbija. Li tgħoddha bħala qasam tax-checksum ta' wisa' magħrufa huwa fejn ħafna minn dawn l-ispjegazzjonijiet jaqgħu biċċiet.

Aqra l-kostruzzjoni magħżula qabel ma tgħodd il-bytes, u ddeskrivi r-riżultat bħala protezzjoni tal-integrità u mhux bħala checksum b'tikketta oħra. Id-dekowdifikatur isemmi l-qasam għalik jekk tistaqsih.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Iċċekkja l-punt ta' osservazzjoni qabel ma tgħodd

Qabda fuq l-interface interna u qabda fuq il-wajer jistgħu juru saffi kompletament differenti. Fuq l-interface interna t-tunnel diġà tneħħa, allura tara l-pakkett li jinġarr u l-ebda waħda mill-intestaturi ta' barra. Fuq il-wajer tara l-intestaturi ta' barra u tagħbija encrypted li ma tistax taqra. L-ebda waħda miż-żewġ dehrriet mhija żbaljata, u mhumiex dehrriet tal-istess oġġett. Semmi fejn ittieħdet il-qabda qabel ma tikkwota kwalunkwe numru.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

L-ewwel kmand juri l-pakkett ta' barra bit-trailer tal-integrità tiegħu, u t-tieni juri l-pakkett li jinġarr b'checksum tat-trasport tiegħu stess. Li żżid numri miż-żewġ qabdiet ma jgħodd xejn darbtejn, iżda jispjega l-istess pakkett darbtejn.

Qabbel in-numru ma' qabda vera

Iddekodifika pakkett wieħed kompletament u mmarka kull qasam li d-dekowdifikatur isejjaħ checksum jew valur tal-integrità. Imbagħad qabbel kull marka mat-tqassim li ktibt, u ħassar dawk li jappartjenu għal saff li ma tkunx tassew qed tgħodd. Numru li joqgħod għal dik l-eżerċizzju huwa difendibbli, u numru kkwotat mill-memorja mhuwiex.

Irrepeti għad-direzzjoni tar-risposta, għax tunnel li jġorr iż-żewġ familji jista' jvarja skont id-direzzjoni u skont il-fluss. Imbagħad għid in-numru bl-ambitu tiegħu, pereżempju tliet checksums għal dan il-pakkett intern f'dan il-punt ta' osservazzjoni, u mhux bħala proprjetà tal-pakketti VPN b'mod ġenerali.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum