ESP ħiereġ mingħajr tweġiba mhuwiex sinjal li l-VPN inqatel
ESP jipproteġi direzzjoni waħda għal kull assoċjazzjoni u ma jikkonferma xejn. Qabbil il-konversazzjoni ta' ġewwa u l-SA tad-dħul qabel tgħid li s-server mhuwiex qed iwieġeb.
Int qbadt it-traffiku fuq il-host IPsec, rajt pakketti ESP ħerġin, ma rajt xejn ġej lura, u kkonkludejt li n-naħa l-bogħida hija miksura. Il-qabda ma tappoġġjax dik il-konklużjoni. ESP jipproteġi direzzjoni waħda ta' konversazzjoni u ma jikkonferma xejn fil-livell IP, għalhekk ESP tar-ritorn nieqes jista' jfisser li l-applikazzjoni ma kellha xejn x' tgħid bl-istess mod kif jista' jfisser li l-mina inqatlet. Aqra l-iskambju ta' ġewwa u l-istat tan-naħa li tirċievi qabel ma tagħti ħtija lil xi tarf.
Il-mit: kull pakkett protett jieħu tweġiba
ESP mhuwiex protokoll ta' talba u tweġiba. Huwa jiċċifra u jawtentika dak kollu li tagħżel il-politika, u r-riċevitur jivvalida, jiddeċifra u jwassal dak il-pakkett ta' ġewwa mingħajr ma jiġġenera pakkett tiegħu. Mistoqsija UDP li d-destinazzjoni tinjora, jew eku ICMP li l-politika tad-dħul tarmi, tipproduċi silenzju fiż-żewġ direzzjonijiet bħala l-eżitu korrett. Li tqis dak is-silenzju bħala falliment tat-trasport iwasslek tfittex ħsara fix-xibka li qatt ma kienet hemm.
Dak li tassew jipprova qabd ta' direzzjoni waħda huwa li l-munzell tal-mittent iċċifra xi ħaġa f'dak il-punt ta' osservazzjoni. Xejn dwar il-wasla, u xejn dwar il-ħsieb li twieġeb. Il-mistoqsija utli mhijiex „għaliex m'hemmx tweġiba“ iżda „x'kellu jipproduċi l-konversazzjoni ta' ġewwa“.
Żewġ SA, żewġ SPI, konversazzjoni waħda
L-assoċjazzjonijiet tas-sigurtà IPsec huma ta' direzzjoni waħda, għalhekk skambju protett normali jmexxi assoċjazzjoni tad-dħul u assoċjazzjoni tal-ħruġ b'identifikaturi separati u stat indipendenti. Li tfittex it-traffiku tar-ritorn għall-SPI tal-pakkett tal-ħruġ huwa għalhekk żball ta' kategorija, għax kwalunkwe tweġiba tivvjaġġa taħt l-SA tal-ħruġ tal-pari nnifisha bl-SPI tagħha stess. Minflok qabbil il-par skont is-seletturi tat-traffiku u l-indirizzi tal-pari.
It-tibdil tal-muftieħ jikkomplika l-istampa għal ftit sekondi, għax l-istat antik u dak sostitut jistgħu jikkoinċidu. Jekk is-sintomu beda madwar tibdil tal-muftieħ, iġbor l-identifikaturi tal-assoċjazzjoni u l-marki tal-ħin flimkien u mhux biss l-isem tal-konnessjoni.
X'għandu jagħmel ir-riċevitur qabel ma twieġeb xi ħaġa
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Kull ringiela tfalli b'mod indipendenti u kull falliment għandu sid differenti, u għalhekk qabda waħda ma tistax tiddistingwihom. Il-kontatur tad-dħul huwa l-unika prova diretta tal-wasla, għax pakkett li jfalli l-awtentikazzjoni jew il-verifika tal-ripetizzjoni jintrema mingħajr ebda tweġiba. Għalhekk pari li l-kontatur tad-dħul tiegħu ma nċaqlaqx qed ma jagħtik l-ebda informazzjoni dwar il-politika tiegħu.
It-twassil huwa pass separat mid-deċifrar. L-istat jista' jkun validu u l-pakkett xorta jintrema wara minn politika tad-dħul jew rotta li ma tinkludix id-destinazzjoni ta' ġewwa, għalhekk iċċekkja jekk il-host fil-mira rawx test ċar minflok ma tassumi li kontatur nadif ifisser li l-pakkett mar fejn ridt.
ESP nattiv mhuwiex UDP
ESP nattiv huwa protokoll IP 50, li mhuwiex TCP u lanqas UDP u m'għandu l-ebda port. Għalhekk regola tal-firewall li tippermetti IKE fuq UDP 500 ma tgħid xejn dwar il-mogħdija tad-data, u filtru miktub madwar il-portijiet jista' jħalli l-mina tinnegozja u mbagħad jarmi kull ma jinġarr fiha. Iċċekkja l-mogħdija tad-data għaliha waħedha, fil-mod li tassew osservajt.
Wara NAT il-forma tinbidel: il-payload protett jivvjaġġa ġewwa UDP, ġeneralment fuq il-port 4500, kif jiddefinixxi RFC 3948. Irreġistra l-mod attiv qabel ma tikteb xi regola, għax apparat fil-mogħdija jista' jittratta l-ESP nattiv u l-ESP inkapsulat f'UDP b'mod kompletament differenti, u xi kaxxi tan-nofs jippermettu wieħed filwaqt li jarmu l-ieħor.
Aqra l-kontaturi li jappartjenu għal dan l-inċident
Fuq host strongSwan, swanctl --list-sas jirrapporta kontaturi tal-pakketti u tal-bytes għal kull assoċjazzjoni fiż-żewġ direzzjonijiet, li biżżejjed biex tifred „qatt ma wasal“ minn „wasal u ma ntwieġibx“. Fuq Linux, /proc/net/xfrm_stat jgħodd fallimenti aggregati bħal stat nieqes, politika nieqsa u żbalji tal-protokoll. Dawk it-totali jakkumulaw mill-boot u jappartjenu lil spazju tal-ismijiet tan-xibka wieħed, għalhekk numru kbir mhuwiex attribuzzjoni.
Ħu żewġ qari madwar it-tieqa tal-inċident fl-ispazju tal-ismijiet korrett u qabbel id-differenzi, inkella tkejjel l-iżbalji tal-ġimgħa li għaddiet fuq it-tikketta ta' wara nofsinhar. Poġġi l-ispazju tal-ismijiet u ż-żewġ marki tal-ħin fit-tikketta sabiex il-qarrej li jmiss jista' jirriproduċi l-paragun minflok ma jafda total.
Semmi l-istadju, mhux is-suspettat
Konklużjoni utli tgħid fejn waqaf il-pakkett: qatt ma nġabar, inġabar u ntrema, twassal iżda bla tweġiba, jew inwieġeb u ntlif fil-vjaġġ lura. Kull wieħed minn dawn jindika sid differenti u kmand ieħor li jmiss. „L-ebda tweġiba mis-server VPN“ iġarraf erba' ħsarat distinti f'sentenza waħda li l-qabda qatt ma ġġustifikat.
Żomm il-qabdiet dojoq, u żomm l-istat mhux ipproċessat tal-kernel barra mit-tikketti, għax jista' jġorr materjal tal-muftieħ li m'għandux jitlaq mill-host. Id-differenzi tal-kontaturi u l-marki tal-ħin huma l-partijiet li jiswew li jingħataw lill-persuna li jmiss.