ESP kom fram, men ingenting vart dekryptert? Følg dei inngåande trinna

Når krypteringsteljaren til ein brannmur stig medan tunnelen ikkje leverer noko, er instinktet å utvide ei tilgangsregel. Det instinktet hoppar over mottakaren sin eigen rekkefølgje av kontrollar. Ein inngåande ESP-pakke går gjennom fleire trinn, og kvart av dei kan avslutte livet til pakken av ein annan grunn: ingen samsvarande assosiasjon, ein feil i gjenoppspeling eller integritet, eller ein indre pakke som er i orden men ikkje tillaten vidare. Å namngje trinnet som feila gjer ein vag påstand om at IPsec er øydelagt til ein bestemt teljar og ei bestemt retting.

Ankomst er éin observasjon, ikkje tre

Eit eksternt opptak som viser at ESP når gatewayen, beviser berre at den ytre pakken kom fram. Aksept tyder at mottakaren fann assosiasjonen og validerte pakken. Levering tyder at den gjenoppretta indre pakken vart ruta til destinasjonen sin og svara på. Dette er skilde resultat, og eit dashbord som slår dei saman skjuler nettopp informasjonen du treng.

Den same skilnaden forklarer ein vanleg rapport: krypteringsteljaren til den eine sida stig medan den andre ikkje rapporterer om noko nyttig dekryptert trafikk. Begge utsegnene kan vere sanne samstundes, fordi dei skildrar ulike trinn i det same forsøket.

Oppslag av assosiasjon skjer før dekryptering

Mottakaren set saman fragment om nødvendig, og finn deretter tryggingsassosiasjonen for pakken. Ved vanleg unicast vert han vald av SPI og destinasjonen. Utan ein gyldig assosiasjon skjer inga vidare handsaming, og difor gjev ein utdatert eller ikkje samsvarande SPI stille i staden for ein feil applikasjonen kan sjå.

Assosiasjonar er retningsbestemte og kan endre seg under ei nøkkelfornying, så noter den mottakande sida, SPI og tidsstempelet ved sida av den inngåande assosiasjonen du meiner er gjeldande. Ein vist utgåande assosiasjon, eller eit sunt IKE-tilhøve, erstattar ikkje den som skal ta imot denne pakken.

Kontrollar for gjenoppspeling og integritet avviser før det finst ei nyttelast

Når ein assosiasjon er funnen, brukar mottakaren algoritmane som han angir. Viss vern mot gjenoppspeling er slått på, vert eit sekvensnummer utanfor vindauget avvist. Ein feil i integritetskontrollen avsluttar òg handsaminga, fordi ICV ikkje samsvarar med pakken slik han vart motteken. Ingen av tilfella lagar ein dekryptert indre pakke, så ingenting når ruting, policy eller applikasjonen.

Bruk dei dokumenterte feila og teljarane til implementasjonen for desse tilstandane i staden for å handsame kvar mottaksfeil som ei avvising frå tilgangslista. Å slå av integritet eller vern mot gjenoppspeling for å få trafikk til å visast beviser ikkje at den inngåande pakken var legitim; det fjernar kontrollen som fortalde sanninga.

UDP-port 4500 er ein behaldar, ikkje ein dom

NAT-traversering ber ESP inne i UDP, og den same porten ber òg IKE- og keepalive-meldingar. Aktivitet på 4500 fortel difor at noko brukar porten, ikkje at applikasjonen har laga ein ESP-pakke. Klassifiser nyttelasta før du tilskriv henne datatrafikk.

Dette betyr noko når opptaket er det einaste beviset. Ein keepalive som kjem etter planen kan få ein død tunnel til å sjå levande ut, og ei IKE-melding kan få eit opptak til å sjå travlare ut enn datastien eigentleg er.

Først etter uttrekket gjeld ruting og policy

Når dekrypteringa lukkast, går den gjenoppretta indre pakken inn i den normale stien: policykontrollar, ruting, vidaresendingsreglar og destinasjonsverten. Ein pakke kan bestå alle tryggingskontrollar og likevel verte sloppen her, og returvegen må òg finnast. Den feilen høyrer til vidaresendinga, ikkje ESP.

Hald teljarar bundne til trinnet dei er dokumenterte for. Mottak på grensesnittet, akseptert ESP, dekrypterte byte og vidaresende indre pakkar treng ikkje vere same talet, særleg når ein akselerert sti handterer dataplanet og kontrollplanet rapporterer separat. Ei generisk dashbordetikett er ikkje bevis for at to teljarar betyr det same.

For éin ny godkjend operasjon, ta vare på den siste stadfesta grensa og den første relevante feilen. Det paret fortel den neste administratoren kva som skal granskast: transportlevering, assosiasjon og integritet, eller vanleg indre vidaresending, og det unngår den vanlege rettinga å gjere kvar regel tillatande for å flytte eit tal.