ESP komt aan, maar niets wordt ontsleuteld? Volg de inkomende fasen

Wanneer de versleutelingsteller van een firewall stijgt terwijl de tunnel niets aflevert, is de instinctieve reactie een toegangsregel te verbreden. Dat instinct slaat de eigen volgorde van controles van de ontvanger over. Een inkomend ESP-pakket doorloopt verschillende fasen, en elk daarvan kan het leven van het pakket om een andere reden beëindigen: geen passende associatie, een fout bij herhaling of integriteit, of een binnenste pakket dat in orde is maar niet verder mag. De fase benoemen die faalde maakt van een vage bewering dat IPsec kapot is een specifieke teller en een specifieke oplossing.

Aankomst is één waarneming, niet drie

Een externe vastlegging die laat zien dat ESP de gateway bereikt, bewijst alleen dat het buitenste pakket is aangekomen. Acceptatie betekent dat de ontvanger de associatie vond en het pakket valideerde. Aflevering betekent dat het herstelde binnenste pakket naar zijn bestemming werd gerouteerd en beantwoord. Dat zijn aparte resultaten, en een dashboard dat ze samenvoegt verbergt precies de informatie die u nodig hebt.

Hetzelfde onderscheid verklaart een veelvoorkomend rapport: de versleutelingsteller van de ene kant stijgt terwijl de andere kant geen bruikbaar ontsleuteld verkeer meldt. Beide uitspraken kunnen tegelijk waar zijn, omdat ze verschillende fasen van dezelfde poging beschrijven.

Het opzoeken van de associatie gebeurt vóór het ontsleutelen

De ontvanger stelt indien nodig fragmenten opnieuw samen en zoekt daarna de beveiligingsassociatie voor het pakket. Bij gewone unicast kiezen de SPI en de bestemming die. Zonder geldige associatie volgt geen verdere verwerking, daarom levert een verouderde of niet-passende SPI stilte op in plaats van een fout die de toepassing ziet.

Associaties zijn gericht en kunnen tijdens een sleutelvernieuwing veranderen, dus noteer de ontvangende kant, de SPI en de tijdstempel naast de inkomende associatie die u als actueel beschouwt. Een getoonde uitgaande associatie, of een gezonde IKE-relatie, vervangt niet degene die dit pakket zou moeten ontvangen.

Controles op herhaling en integriteit weigeren voordat er een payload is

Zodra een associatie is gevonden, past de ontvanger de algoritmen toe die zij voorschrijft. Als bescherming tegen herhaling aan staat, wordt een sequentienummer buiten het venster geweigerd. Een fout in de integriteitscontrole beëindigt de verwerking ook, omdat de ICV niet overeenkomt met het pakket zoals het is ontvangen. Geen van beide gevallen levert een ontsleuteld binnenste pakket op, dus niets bereikt routering, beleid of de toepassing.

Gebruik de gedocumenteerde fouten en tellers van de implementatie voor deze toestanden in plaats van elke ontvangstfout als een weigering van de toegangslijst te behandelen. Integriteit of bescherming tegen herhaling uitschakelen om verkeer te laten verschijnen bewijst niet dat het inkomende pakket legitiem was; het verwijdert de controle die de waarheid vertelde.

UDP-poort 4500 is een container, geen vonnis

NAT-traversal draagt ESP binnen UDP, en dezelfde poort draagt ook IKE- en keepalive-berichten. Activiteit op 4500 zegt dus dat iets de poort gebruikt, niet dat de toepassing een ESP-pakket heeft gemaakt. Classificeer de payload voordat u die aan dataverkeer toeschrijft.

Dit telt wanneer de vastlegging het enige bewijs is. Een keepalive die op tijd aankomt kan een dode tunnel levend laten lijken, en een IKE-bericht kan een vastlegging drukker laten lijken dan het datapad werkelijk is.

Pas na het extraheren gelden routering en beleid

Wanneer het ontsleutelen slaagt, gaat het herstelde binnenste pakket de normale route in: beleidscontroles, routering, doorstuurregels en de bestemmingshost. Een pakket kan elke beveiligingscontrole doorstaan en hier toch worden weggegooid, en de retourroute moet ook bestaan. Die fout hoort bij het doorsturen, niet bij ESP.

Houd tellers gebonden aan hun gedocumenteerde fase. Ontvangst op de interface, geaccepteerde ESP, ontsleutelde bytes en doorgestuurde binnenste pakketten hoeven niet hetzelfde getal te zijn, vooral wanneer een versneld pad het dataplane afhandelt en het control plane apart rapporteert. Een algemeen dashboardlabel is geen bewijs dat twee tellers hetzelfde betekenen.

Voor één nieuwe geautoriseerde bewerking bewaart u de laatst bevestigde grens en de eerste relevante fout. Dat paar vertelt de volgende beheerder of hij transportaflevering, associatie en integriteit of gewoon doorsturen binnenin moet onderzoeken, en het vermijdt de gebruikelijke correctie om elke regel toestemmend te maken om een getal te verplaatsen.