ESP kom frem, men ingenting ble dekryptert? Følg de inngående trinnene

Når krypteringstelleren til en brannmur stiger mens tunnelen ikke leverer noe, er instinktet å utvide en tilgangsregel. Det instinktet hopper over mottakerens egen rekkefølge av kontroller. En inngående ESP-pakke går gjennom flere trinn, og hvert av dem kan avslutte pakkens liv av en annen grunn: ingen samsvarende assosiasjon, en feil i gjenoppspilling eller integritet, eller en indre pakke som er i orden men ikke tillatt videre. Å navngi trinnet som feilet gjør en vag påstand om at IPsec er ødelagt til en bestemt teller og en bestemt rettelse.

Ankomst er én observasjon, ikke tre

Et eksternt opptak som viser at ESP når gatewayen, beviser bare at den ytre pakken ankom. Aksept betyr at mottakeren fant assosiasjonen og validerte pakken. Levering betyr at den gjenopprettede indre pakken ble rutet til destinasjonen sin og besvart. Dette er atskilte resultater, og et dashbord som slår dem sammen skjuler nettopp informasjonen du trenger.

Den samme forskjellen forklarer en vanlig rapport: krypteringstelleren til den ene siden stiger mens den andre ikke rapporterer om noen nyttig dekryptert trafikk. Begge utsagnene kan være sanne samtidig, fordi de beskriver forskjellige trinn i det samme forsøket.

Oppslag av assosiasjon skjer før dekryptering

Mottakeren setter sammen fragmenter om nødvendig, og finner deretter sikkerhetsassosiasjonen for pakken. Ved vanlig unicast velges den av SPI og destinasjonen. Uten en gyldig assosiasjon skjer ingen videre behandling, og derfor gir en utdatert eller ikke samsvarende SPI stillhet i stedet for en feil applikasjonen kan se.

Assosiasjoner er retningsbestemte og kan endres under en nøkkelfornyelse, så noter den mottakende siden, SPI og tidsstempelet ved siden av den inngående assosiasjonen du mener er gjeldende. En vist utgående assosiasjon, eller et sunt IKE-forhold, erstatter ikke den som skal motta denne pakken.

Kontroller for gjenoppspilling og integritet avviser før det finnes en nyttelast

Når en assosiasjon er funnet, bruker mottakeren algoritmene som den angir. Hvis beskyttelse mot gjenoppspilling er slått på, avvises et sekvensnummer utenfor vinduet. En feil i integritetskontrollen avslutter også behandlingen, fordi ICV ikke samsvarer med pakken slik den ble mottatt. Ingen av tilfellene lager en dekryptert indre pakke, så ingenting når ruting, policy eller applikasjonen.

Bruk implementasjonens dokumenterte feil og tellere for disse tilstandene i stedet for å behandle enhver mottaksfeil som en avvisning fra tilgangslisten. Å slå av integritet eller beskyttelse mot gjenoppspilling for å få trafikk til å vises beviser ikke at den inngående pakken var legitim; det fjerner kontrollen som fortalte sannheten.

UDP-port 4500 er en beholder, ikke en dom

NAT-traversering bærer ESP inne i UDP, og den samme porten bærer også IKE- og keepalive-meldinger. Aktivitet på 4500 forteller derfor at noe bruker porten, ikke at applikasjonen har laget en ESP-pakke. Klassifiser nyttelasten før du tilskriver den datatrafikk.

Dette betyr noe når opptaket er det eneste beviset. En keepalive som ankommer etter planen kan få en død tunnel til å se levende ut, og en IKE-melding kan få et opptak til å se travlere ut enn datastien egentlig er.

Først etter uttrekket gjelder ruting og policy

Når dekrypteringen lykkes, går den gjenopprettede indre pakken inn i den normale stien: policykontroller, ruting, videresendingsregler og destinasjonsverten. En pakke kan bestå alle sikkerhetskontroller og likevel bli droppet her, og returveien må også finnes. Den feilen tilhører videresendingen, ikke ESP.

Hold tellere bundet til trinnet de er dokumentert for. Mottak på grensesnittet, akseptert ESP, dekrypterte byte og videresendte indre pakker trenger ikke være samme tall, særlig når en akselerert sti håndterer dataplanet og kontrollplanet rapporterer separat. En generisk dashbordetikett er ikke bevis for at to tellere betyr det samme.

For én ny godkjent operasjon, ta vare på den siste bekreftede grensen og den første relevante feilen. Det paret forteller den neste administratoren hva som skal undersøkes: transportlevering, assosiasjon og integritet, eller vanlig indre videresending, og det unngår den vanlige rettelsen å gjøre hver regel tillatende for å flytte et tall.