IPsec ESP: x’iġorr u kif wieħed jipprova li qed joħroġ
ESP idawwar pakkett IP intern fil-modalità tunnel u jidentifika l-assoċjazzjoni tiegħu permezz tal-SPI. Aqra l-istat, imbagħad ara kif fluss wieħed iċaqlaq il-kontaturi.
ESP iġorr it-traffiku f’VPN IPsec, u r-runbook tiegħu jibda b’regola waħda: aqra l-assoċjazzjoni tas-sigurtà qabel ma tbiddel politika. Ħafna mill-imġiba mhux spjegata tal-ESP tmur lura għal selettur li ma qabilx, modalità li ġiet preżunta minflok maqra, jew kontatur li ħadd ma ċċekkja waqt li kien qed jintbagħat fluss wieħed. It-tliet passi hawn taħt jistabbilixxu x’iġorr xiex, jippruvaw li fluss wieħed jużah, u jħallu treġġigħ lura li ma jiddependix mill-memorja. Kull pass jipproduċi osservazzjoni waħda li jisħaq li tinkiteb.
Sir af l-oqsma qabel ma taqrahom
ESP iqiegħed intestatura quddiem id-dejta protetta u trejler warajha. L-intestatura ġġorr indiċi tal-parametri tas-sigurtà li jidentifika liema assoċjazzjoni għandu juża r-riċevitur, numru tas-sekwenza biex jinqabad it-trattament mill-ġdid, u fit-trejler padding li jżomm il-payload allinjat għaċ-ċifru. Il-qasam tal-intestatura li jmiss fit-trejler jgħid x’inhu l-kontenut protett, u hekk ir-riċevitur ikun jaf x’iddikapsula.
Il-modalità tbiddel x’hemm ġewwa dik il-protezzjoni. Fil-modalità tunnel il-materjal protett huwa pakkett IP intern sħiħ, u intestatura esterna ġdida ġġorru bejn it-truf. Fil-modalità trasport il-protezzjoni ddawwar il-payload tas-saff ta’ fuq ta’ pakkett eżistenti, għalhekk m’hemmx it-tieni intestatura IP x’tiftaħ. Liema modalità qed tintuża hija fatt tal-konfigurazzjoni, mhux kwistjoni ta’ interpretazzjoni. Aqraha mill-entrata tal-istat minflok tiddeduċiha minn dijagramma.
Ebda waħda mill-modalitajiet ma taħbi l-indirizzar estern li jrid iwassal il-pakkett. Din hija proprjetà tad-disinn u mhux nuqqas, u għalhekk osservatur fil-qalba xorta jista’ jara liema żewġ indirizzi qed jitkellmu anki meta l-payload ma tkunx trasparenti.
L-ewwel pass: aqra l-istat, imbagħad il-politika
L-entrati tal-istat iżommu ċ-ċwievet u l-kontaturi; l-entrati tal-politika iżommu s-seletturi li jiddeċiedu min jista’ jużahom. Fuq Linux it-tnejn jidhru mingħajr ma tinqabad il-pakkett, u li taqrahom f’dan l-ordni jżomm iż-żewġ mistoqsijiet separati.
ip xfrm state
ip xfrm policyFil-ħruġ tal-istat, iċċekkja s-sors u d-destinazzjoni tal-assoċjazzjoni, il-modalità, u jekk l-inkapsulament jurix portijiet UDP. Dawk il-portijiet ifissru li qed jintuża t-tqassim tan-NAT, li jbiddel x’għandu jippermetti firewall fil-qalba, imma mhux liema seletturi jew ċwievet japplikaw fit-truf.
Imbagħad aqra s-seletturi fil-politika. Selettur li jsemmi prefiss idjaq mit-traffiku li qed tittestja huwa l-iktar raġuni komuni għaliex tunnel li jaħdem jidher li qed jinjora fluss, u selettur għall-protokoll żbaljat jagħti l-istess silenzju.
| Field | Where it appears | What it decides |
|---|---|---|
| Security parameter index | ESP header, and the receiving state entry | Which association and keys the receiver applies |
| Sequence number | ESP header | Replay detection for that association |
| Next header | ESP trailer | What the decapsulated payload contains |
| Inner IP header | Inside tunnel-mode payload only | The original source and destination the endpoints act on |
| Traffic selectors | Policy, not the packet | Which local traffic is allowed to use the association |
L-għodod tal-manifatturi jipprintjaw l-istess informazzjoni f’forma iktar komda. ipsec statusall fuq strongSwan dan jelenka l-assoċjazzjonijiet ulied, is-seletturi tagħhom u l-kontaturi tal-bytes tagħhom, li spiss huwa iktar mgħaġġel milli taqra l-ħruġ xfrm mhux maħdum meta diġà taf liema wild tħares lejh.
It-tieni pass: ipprova li fluss wieħed iċaqlaq il-kontaturi
Il-kontaturi jkollhom sens biss jekk taf x’kien se jiċċaqlaqhom, għalhekk agħżel sors u destinazzjoni li s-selettur ċertament ikopri u ibgħat talba waħda bla ħsara. Imbagħad aqra l-istess entrata għal darba oħra u qabbel.
ip -s xfrm state
tcpdump -ni any espŻewġ qari jgħidu stejjer differenti. Pakketti li jiżdiedu fuq in-naħa ħierġa imma qatt fuq dik dieħla jindikaw problema ta’ trażmissjoni jew ta’ triq lura u mhux problema taċ-ċavetta, għax il-pakkett ġie inkapsulat u telaq. Jekk ebda kontatur ma jiċċaqlaq, it-traffiku qatt ma qabel mal-politika, u s-selettur huwa l-post fejn wieħed iħares.
Il-qabda fl-istess pass tikkonferma l-inkapsulament fuq il-wajer, inkluż jekk il-pakketti esterni humiex ESP jew ESP inkapsulat fl-UDP. Hija turi wkoll l-indirizzi li tassew ġarrew il-fluss, u dawk kultant ivarjaw minn dawk fil-konfigurazzjoni li kont qed taqra.
It-tielet pass: ibdel ħaġa waħda u żomm treġġigħ lura
Innota s-sors, id-destinazzjoni, il-modalità, is-seletturi u l-kontaturi tal-assoċjazzjoni qabel ma teditja xejn. Jekk bidla tkompli tħarreb l-affarijiet, dak in-nota hija dik li tħallik tirrestawra l-istat preċedenti minflok terġa’ tibni konfigurazzjoni li taħdem minn suppożizzjoni. Dik in-nota tieħu minuta biex tinkiteb u tiffranka siegħa wara. Hija wkoll l-uniku artefatt li jibqa’ wara l-persuna li għamlet il-bidla.
Ibdel selettur wieħed jew parametru wieħed, erġa’ għabbih, u erġa’ agħmel it-tieni pass fuq l-istess fluss. It-tħassir ta’ assoċjazzjoni jwaqqa’ kull fluss li jużaha, għalhekk editjar immirat u t-tagħbija mill-ġdid tal-wild kważi dejjem aħjar minn tbattil tal-istat biex tara x’jiġri.
It-treġġigħ lura għal editjar tas-selettur huwa li tirrestawra l-politika preċedenti u terġa’ tgħabbiha, bil-kundizzjoni li s-sieħeb jista’ jkollu bżonn bidla korrispondenti jekk is-selettur jiġi nnegozjat u mhux lokali. Innota dak id-dipendenza waqt li tkun friska, għax par nofsu restawrat huwa iktar diffiċli biex taħseb dwaru minn kull wieħed miż-żewġ stati finali.
Fl-aħħar, żomm l-ambitu onest. Assoċjazzjoni ESP li qed toħroġ tipprova li ż-żewġ gateways qed jipproteġu u jwasslu s-segment, u ma tgħid xejn dwar jekk l-applikazzjoni fuqha tawtentikax lill-utenti tagħha jew tikkripta dak li taħżen. Dawk huma kontrolli separati b’evidenza separata, u r-runbook jitlesta biss meta l-persuna li jmiss tkun tista’ tirrepetiha min-noti.