ESP ਪਹੁੰਚਿਆ ਪਰ ਕੁਝ ਵੀ ਡੀਕ੍ਰਿਪਟ ਨਹੀਂ ਹੋਇਆ? ਇਨਬਾਊਂਡ ਪੜਾਅ ਵੇਖੋ

ਜਦੋਂ ਫਾਇਰਵਾਲ ਦਾ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕਾਊਂਟਰ ਵਧਦਾ ਹੈ ਪਰ ਟਨਲ ਕੁਝ ਵੀ ਨਹੀਂ ਪਹੁੰਚਾਉਂਦਾ, ਤਾਂ ਐਕਸੈਸ ਨਿਯਮ ਖੋਲ੍ਹਣ ਦੀ ਪ੍ਰਵਿਰਤੀ ਆਉਂਦੀ ਹੈ। ਉਹ ਪ੍ਰਵਿਰਤੀ ਪ੍ਰਾਪਤਕਰਤਾ ਦੇ ਆਪਣੇ ਜਾਂਚ ਕ੍ਰਮ ਨੂੰ ਛੱਡ ਦਿੰਦੀ ਹੈ। ਇਨਬਾਊਂਡ ESP ਪੈਕਟ ਕਈ ਪੜਾਵਾਂ ਵਿੱਚੋਂ ਲੰਘਦਾ ਹੈ, ਅਤੇ ਹਰ ਪੜਾਅ ਵੱਖਰੇ ਕਾਰਨ ਨਾਲ ਪੈਕਟ ਦੀ ਉਮਰ ਖਤਮ ਕਰ ਸਕਦਾ ਹੈ: ਮੇਲ ਖਾਂਦਾ ਐਸੋਸੀਏਸ਼ਨ ਨਹੀਂ, ਰੀਪਲੇ ਜਾਂ ਇੰਟੀਗ੍ਰਿਟੀ ਫੇਲ੍ਹ, ਜਾਂ ਅੰਦਰਲਾ ਪੈਕਟ ਠੀਕ ਹੈ ਪਰ ਅੱਗੇ ਆਗਿਆ ਨਹੀਂ। ਫੇਲ੍ਹ ਹੋਏ ਪੜਾਅ ਦਾ ਨਾਂ ਲੈਣ ਨਾਲ IPsec ਖਰਾਬ ਹੈ ਵਾਲੀ ਧੁੰਦਲੀ ਗੱਲ ਖਾਸ ਕਾਊਂਟਰ ਅਤੇ ਖਾਸ ਸੁਧਾਰ ਬਣ ਜਾਂਦੀ ਹੈ।

ਆਗਮਨ ਇੱਕ ਨਿਰੀਖਣ ਹੈ, ਤਿੰਨ ਨਹੀਂ

ESP ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ ਦਿਖਾਉਣ ਵਾਲਾ ਬਾਹਰੀ ਕੈਪਚਰ ਸਿਰਫ ਇਹ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਬਾਹਰੀ ਪੈਕਟ ਪਹੁੰਚਿਆ। ਸਵੀਕ੍ਰਿਤੀ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਪ੍ਰਾਪਤਕਰਤਾ ਨੇ ਐਸੋਸੀਏਸ਼ਨ ਲੱਭਿਆ ਅਤੇ ਪੈਕਟ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ। ਡਿਲੀਵਰੀ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਮੁੜ ਪ੍ਰਾਪਤ ਅੰਦਰਲਾ ਪੈਕਟ ਆਪਣੀ ਮੰਜ਼ਿਲ ਤੱਕ ਰੂਟ ਹੋਇਆ ਅਤੇ ਜਵਾਬ ਮਿਲਿਆ। ਇਹ ਵੱਖਰੇ ਨਤੀਜੇ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਨੂੰ ਇਕੱਠਾ ਦਿਖਾਉਣ ਵਾਲਾ ਡੈਸ਼ਬੋਰਡ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ ਹੀ ਲੁਕਾਉਂਦਾ ਹੈ।

ਇਹੀ ਫਰਕ ਇੱਕ ਆਮ ਰਿਪੋਰਟ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ: ਇੱਕ ਧਿਰ ਦਾ ਐਨਕ੍ਰਿਪਸ਼ਨ ਕਾਊਂਟਰ ਵਧਦਾ ਹੈ ਜਦੋਂ ਕਿ ਦੂਜੀ ਧਿਰ ਕੋਈ ਲਾਹੇਵੰਦ ਡੀਕ੍ਰਿਪਟ ਹੋਇਆ ਟ੍ਰੈਫਿਕ ਨਹੀਂ ਦੱਸਦੀ. ਦੋਵੇਂ ਕਥਨ ਇੱਕੋ ਸਮੇਂ ਸੱਚ ਹੋ ਸਕਦੇ ਹਨ, ਕਿਉਂਕਿ ਉਹ ਇੱਕੋ ਕੋਸ਼ਿਸ਼ ਦੇ ਵੱਖਰੇ ਪੜਾਅ ਦੱਸਦੇ ਹਨ।

ਐਸੋਸੀਏਸ਼ਨ ਦੀ ਖੋਜ ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ ਹੁੰਦੀ ਹੈ

ਪ੍ਰਾਪਤਕਰਤਾ ਲੋੜ ਪੈਣ ਤੇ ਟੁਕੜੇ ਮੁੜ ਜੋੜਦਾ ਹੈ, ਫਿਰ ਪੈਕਟ ਦਾ ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨ ਲੱਭਦਾ ਹੈ। ਆਮ ਯੂਨੀਕਾਸਟ ਵਿੱਚ SPI ਅਤੇ ਮੰਜ਼ਿਲ ਇਸਨੂੰ ਚੁਣਦੇ ਹਨ। ਵੈਧ ਐਸੋਸੀਏਸ਼ਨ ਨਾ ਹੋਵੇ ਤਾਂ ਅੱਗੇ ਕੋਈ ਪ੍ਰੋਸੈਸਿੰਗ ਨਹੀਂ ਹੁੰਦੀ, ਇਸ ਲਈ ਪੁਰਾਣਾ ਜਾਂ ਨਾ-ਮਿਲਦਾ SPI ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਦਿਸਣ ਵਾਲੀ ਗਲਤੀ ਦੀ ਥਾਂ ਚੁੱਪ ਪੈਦਾ ਕਰਦਾ ਹੈ।

ਐਸੋਸੀਏਸ਼ਨ ਦਿਸ਼ਾਵਾਨ ਹੁੰਦੇ ਹਨ ਅਤੇ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਦੌਰਾਨ ਬਦਲ ਸਕਦੇ ਹਨ, ਇਸ ਲਈ ਤੁਸੀਂ ਜੋ ਮੌਜੂਦਾ ਮੰਨਦੇ ਹੋ ਉਸ ਇਨਬਾਊਂਡ ਐਸੋਸੀਏਸ਼ਨ ਦੇ ਕੋਲ ਪ੍ਰਾਪਤਕਰਤਾ ਧਿਰ, SPI ਅਤੇ ਸਮਾਂ-ਛਾਪ ਲਿਖੋ। ਦਿਖਾਇਆ ਗਿਆ ਆਊਟਬਾਊਂਡ ਐਸੋਸੀਏਸ਼ਨ ਜਾਂ ਸਿਹਤਮੰਦ IKE ਸੰਬੰਧ ਉਸ ਐਸੋਸੀਏਸ਼ਨ ਦਾ ਬਦਲ ਨਹੀਂ ਜੋ ਇਹ ਪੈਕਟ ਲੈਣੀ ਚਾਹੀਦੀ ਹੈ।

ਰੀਪਲੇ ਅਤੇ ਇੰਟੀਗ੍ਰਿਟੀ ਜਾਂਚਾਂ ਪੇਲੋਡ ਬਣਨ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਰੱਦ ਕਰਦੀਆਂ ਹਨ

ਐਸੋਸੀਏਸ਼ਨ ਮਿਲਣ ਤੋਂ ਬਾਅਦ ਪ੍ਰਾਪਤਕਰਤਾ ਉਹ ਐਲਗੋਰਿਦਮ ਲਾਗੂ ਕਰਦਾ ਹੈ ਜੋ ਇਹ ਦੱਸਦੀ ਹੈ। ਜੇ ਐਂਟੀ-ਰੀਪਲੇ ਚਾਲੂ ਹੈ, ਤਾਂ ਵਿੰਡੋ ਤੋਂ ਬਾਹਰ ਦਾ ਕ੍ਰਮ ਨੰਬਰ ਰੱਦ ਹੋ ਜਾਂਦਾ ਹੈ। ਇੰਟੀਗ੍ਰਿਟੀ ਜਾਂਚ ਫੇਲ੍ਹ ਹੋਣ ਨਾਲ ਵੀ ਪ੍ਰੋਸੈਸਿੰਗ ਖਤਮ ਹੁੰਦੀ ਹੈ, ਕਿਉਂਕਿ ICV ਪ੍ਰਾਪਤ ਹੋਏ ਪੈਕਟ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ। ਕਿਸੇ ਵੀ ਹਾਲਤ ਵਿੱਚ ਡੀਕ੍ਰਿਪਟ ਹੋਇਆ ਅੰਦਰਲਾ ਪੈਕਟ ਨਹੀਂ ਬਣਦਾ, ਇਸ ਲਈ ਕੁਝ ਵੀ ਰੂਟਿੰਗ, ਨੀਤੀ ਜਾਂ ਐਪਲੀਕੇਸ਼ਨ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਦਾ।

ਇਹਨਾਂ ਹਾਲਾਤਾਂ ਲਈ ਲਾਗੂਕਰਨ ਦੀਆਂ ਦਰਜ ਗਲਤੀਆਂ ਅਤੇ ਕਾਊਂਟਰ ਵਰਤੋ, ਹਰ ਪ੍ਰਾਪਤੀ ਫੇਲ੍ਹ ਨੂੰ ਐਕਸੈਸ-ਸੂਚੀ ਰੱਦ ਮੰਨਣ ਦੀ ਥਾਂ। ਟ੍ਰੈਫਿਕ ਦਿਸੇ ਇਸ ਲਈ ਇੰਟੀਗ੍ਰਿਟੀ ਜਾਂ ਰੀਪਲੇ ਸੁਰੱਖਿਆ ਬੰਦ ਕਰਨਾ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਆਇਆ ਪੈਕਟ ਜਾਇਜ਼ ਸੀ; ਇਹ ਸੱਚ ਦੱਸ ਰਹੀ ਜਾਂਚ ਹਟਾ ਦਿੰਦਾ ਹੈ।

UDP ਪੋਰਟ 4500 ਇੱਕ ਭਾਂਡਾ ਹੈ, ਫੈਸਲਾ ਨਹੀਂ

NAT ਟ੍ਰਾਵਰਸਲ ESP ਨੂੰ UDP ਦੇ ਅੰਦਰ ਲੈ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਉਹੀ ਪੋਰਟ IKE ਤੇ ਕੀਪਅਲਾਈਵ ਸੁਨੇਹੇ ਵੀ ਲੈ ਜਾਂਦਾ ਹੈ। ਇਸ ਲਈ 4500 ਤੇ ਸਰਗਰਮੀ ਦੱਸਦੀ ਹੈ ਕਿ ਕੁਝ ਪੋਰਟ ਵਰਤ ਰਿਹਾ ਹੈ, ਇਹ ਨਹੀਂ ਕਿ ਐਪਲੀਕੇਸ਼ਨ ਨੇ ESP ਪੈਕਟ ਬਣਾਇਆ। ਡੇਟਾ ਟ੍ਰੈਫਿਕ ਨਾਲ ਜੋੜਨ ਤੋਂ ਪਹਿਲਾਂ ਪੇਲੋਡ ਦੀ ਸ਼੍ਰੇਣੀ ਕਰੋ।

ਇਹ ਉਦੋਂ ਮਹੱਤਵਪੂਰਨ ਹੈ ਜਦੋਂ ਕੈਪਚਰ ਹੀ ਇੱਕੋ ਇੱਕ ਸਬੂਤ ਹੋਵੇ। ਸਮੇਂ ਸਿਰ ਆਉਣ ਵਾਲਾ ਕੀਪਅਲਾਈਵ ਸੁਨੇਹਾ ਮਰੇ ਟਨਲ ਨੂੰ ਜੀਵਤ ਦਿਖਾ ਸਕਦਾ ਹੈ, ਅਤੇ IKE ਸੁਨੇਹਾ ਕੈਪਚਰ ਨੂੰ ਅਸਲ ਡੇਟਾ ਮਾਰਗ ਨਾਲੋਂ ਵੱਧ ਰੁੱਝਿਆ ਦਿਖਾ ਸਕਦਾ ਹੈ।

ਕੱਢਣ ਤੋਂ ਬਾਅਦ ਹੀ ਰੂਟਿੰਗ ਅਤੇ ਨੀਤੀ ਲਾਗੂ ਹੁੰਦੀਆਂ ਹਨ

ਜਦੋਂ ਡੀਕ੍ਰਿਪਸ਼ਨ ਸਫਲ ਹੁੰਦਾ ਹੈ, ਮੁੜ ਪ੍ਰਾਪਤ ਅੰਦਰਲਾ ਪੈਕਟ ਆਮ ਮਾਰਗ ਵਿੱਚ ਦਾਖਲ ਹੁੰਦਾ ਹੈ: ਨੀਤੀ ਜਾਂਚਾਂ, ਰੂਟਿੰਗ, ਫਾਰਵਰਡਿੰਗ ਨਿਯਮ ਅਤੇ ਮੰਜ਼ਿਲ ਹੋਸਟ। ਪੈਕਟ ਸਾਰੀਆਂ ਸੁਰੱਖਿਆ ਜਾਂਚਾਂ ਪਾਰ ਕਰਕੇ ਵੀ ਇੱਥੇ ਛੱਡਿਆ ਜਾ ਸਕਦਾ ਹੈ, ਅਤੇ ਜਵਾਬ ਮਾਰਗ ਵੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਉਹ ਫੇਲ੍ਹ ਫਾਰਵਰਡਿੰਗ ਦੀ ਹੈ, ESP ਦੀ ਨਹੀਂ।

ਕਾਊਂਟਰਾਂ ਨੂੰ ਉਹਨਾਂ ਦੇ ਦਰਜ ਪੜਾਅ ਨਾਲ ਜੋੜ ਕੇ ਰੱਖੋ। ਇੰਟਰਫੇਸ ਪ੍ਰਾਪਤੀ, ਸਵੀਕ੍ਰਿਤ ESP, ਡੀਕ੍ਰਿਪਟ ਹੋਏ ਬਾਈਟ ਅਤੇ ਫਾਰਵਰਡ ਕੀਤੇ ਅੰਦਰਲੇ ਪੈਕਟ ਇੱਕੋ ਸੰਖਿਆ ਹੋਣਾ ਜ਼ਰੂਰੀ ਨਹੀਂ, ਖਾਸ ਕਰਕੇ ਜਦੋਂ ਤੇਜ਼ ਮਾਰਗ ਡੇਟਾ ਪਲੇਨ ਸੰਭਾਲਦਾ ਹੈ ਅਤੇ ਕੰਟਰੋਲ ਪਲੇਨ ਵੱਖਰਾ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ। ਆਮ ਡੈਸ਼ਬੋਰਡ ਲੇਬਲ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਦੋ ਕਾਊਂਟਰ ਇੱਕੋ ਚੀਜ਼ ਦੱਸਦੇ ਹਨ।

ਇੱਕ ਨਵੀਂ ਅਧਿਕ੍ਰਿਤ ਕਾਰਵਾਈ ਲਈ ਆਖਰੀ ਪੁਸ਼ਟ ਪਰਿਮਾਪ ਅਤੇ ਪਹਿਲੀ ਸੰਬੰਧਿਤ ਗਲਤੀ ਰੱਖੋ। ਉਹ ਜੋੜੀ ਅਗਲੇ ਪ੍ਰਸ਼ਾਸਕ ਨੂੰ ਦੱਸਦੀ ਹੈ ਕਿ ਕੀ ਜਾਂਚਣਾ ਹੈ: ਟਰਾਂਸਪੋਰਟ ਡਿਲੀਵਰੀ, ਐਸੋਸੀਏਸ਼ਨ ਤੇ ਇੰਟੀਗ੍ਰਿਟੀ, ਜਾਂ ਆਮ ਅੰਦਰਲੀ ਫਾਰਵਰਡਿੰਗ, ਅਤੇ ਸੰਖਿਆ ਹਿਲਾਉਣ ਲਈ ਹਰ ਨਿਯਮ ਢਿੱਲਾ ਕਰਨ ਵਾਲੇ ਆਮ ਸੁਧਾਰ ਤੋਂ ਬਚਾਉਂਦੀ ਹੈ।