د IKE تکراري پاکټونه: ورک شوی بدلون ومومئ

لاګ هماغه IKE غوښتنه دوه ځله ښیي، یو څوک موبایل اپلینک ته اشاره کوي، او ټیکټ په یوه اټکل بندېږي. هماغه اټکل افسانه ده: تکرار شوی پاکټ د یوې تبادلې په اړه مشاهده ده، نه د لینک تشخیص. بیا لېږل نورمال چلند دی چې خپل قواعد لري، او کله چې ځواب ورو وي په روغو لارو هم ښکاري. د انټرفیس په تورنولو دمخه د ځواب پسې لاړ شئ.

افسانه: تکرار شوې غوښتنه په یوه لینک کې د زیان ثبوت دی

دوه بېلابېل شیان دوه ګونی جوړوي او هېڅ یو یې د مجرم نوم نه اخلي. غوښتونکی کېدای شي غوښتنه تکرار کړي ځکه چې ځواب یې نه دی ترلاسه کړی، یا د نیولو نقطه کېدای شي هماغه پاکټ دوه ځله وښیي ځکه چې د سټیک سره چېرته نښلول شوې ده. هغه ټپ چې په یوه هوسټ کې ننوتل او وتل ګوري په خوښۍ سره یو پاکټ دوه ډوله ثبتوي، او هغه لاګ لوستونکی آپریټر د تبادلې پېژندونکو پرته د توپیر پېژندلو لاره نه لري. تر هغه چې ووایاست کوم یو یې په لاس کې لرئ، دوه ګونی د ټایمر پېښه وګڼئ.

دوه اپلینکونه ګډوډي نوره هم خرابه کوي، نه ښه. یوه لاګ کرښه یو انټرفیس نوموي، پداسې حال کې چې ځواب ممکن د بل له لارې وتلی وي، نو په پیغام کې انټرفیس هغه ځای بیانوي چې پاکټ لیدل شوی، نه د خبرو بڼه. له همدې امله لومړی پوښتنه دا ده چې تاسو کومه تبادله ګورئ، نه دا چې کوم لینک خراب دی.

بیا لېږل په رېښتیا څه وایي

په IKEv2 کې، بیا لېږل داسې کار کوي: کله چې ځواب نه وي رسېدلی غوښتونکی غوښتنه تکراروي، او ځواب ورکوونکی کولای شي خپل ساتل شوی ځواب بیا ولېږي پرځای دې چې نوی حساب کړي. د پیغام پېژندونکي د هماغې تبادلې دي، او همدا لامل دی چې د یو شان پېژندونکي سره تکرار شوې غوښتنه د نوي هڅې پرځای د پروتوکول د کار په توګه پېژندل کېږي. لومړنۍ هڅه ډېری وخت د اړیکې لپاره له سرچینې پتې یا د پیل کوونکي SPI څخه ډېر څه ته اړتیا لري، له همدې امله د پلیټ فارم خپل د تبادلې ریکارډ د پاکټ له لیست غوره دی. IKEv1 د بېلو پېژندونکو سره بېل قواعد تعقیبوي، او د لومړي پاکټ د دوه ګوني په اړه د پلورونکي خبرداری په ټولو نسخو کې یو مانا نه لري.

نو د بیا لېږلو وخت ټاپ وایي چې ټایمر پای ته ورسېد. دا نه وایي چې کوم هپ ورو و، او یقیناً نه وایي چې آپریټر مجرم دی. دا جلا ادعاوې دي، او په ټیکټ کې یوازې دوهمه ګټوره ده.

عملي پایله دا ده چې د پایلې اخیستلو دمخه تبادله ثبت کړئ. سیمه ییز ترلاسینې پته، هغه د ځواب لار چې پالیسي غوره کړې، د پیر جوړه او د تبادلې پېژندونکي په یوه ځای ولیکئ، ځکه هر یو یې وروسته د ریکارډ لوستلو پر مهال بېلې پوښتنې ته ځواب وایي.

د یوې لړۍ په توګه څلور د کتنې نقطې

تبادله د څلورو جلا کتلو ځایونو پرځای د لړۍ څلور کړۍ وګڼئ. کړۍ ثبوت ساتي یا ناپېژندلې پاتې کېږي، او لړۍ یوازې هغومره معلوماتي ده چې د هغې ترټولو کمزورې ثبت شوې کړۍ ده. لاندې جدول د توکو لیست دی: هر موقعیت څه ثابتولای شي او څه نه لاس وهي.

لړۍ یوازې هغه ځای ډکه کړئ چې لاسرسی لرئ، او پاتې برخه د اټکل پرځای ناپېژندلې وښیئ. هغه هنګ چې په یوه ماشین کې پاکټونه ثبتوي د لرې ماشین د ترلاسه کړو شيانو په اړه هېڅ نه وایي، او هغه لاګ کرښه چې وایي غوښتنه لیدل شوې د دې ثبوت نه دی چې کله هم ځواب وتلی. صادقانه تشې د اټکلونو څخه جوړ شوي بشپړ ښکاره ریکارډ څخه ډېرې ګټورې دي.

لومړی ورک شوی بدلون ومومئ

لړۍ له پیل کوونکي بهر ته ورشئ او په لومړۍ کړۍ کې چې ثبوت نه لري ودرېږئ. که دروازه غوښتنه هېڅکله ثبت نه کړي، خرابي د هغې په مخکې لاره کې ده. کله چې دروازه هماغه غوښتنه بیا بیا ثبتوي خو کلاینټ هېڅکله ځواب ثبت نه کړي، شکمن لوری د بېرته راستنېدو دی: سرچینه پته، ژباړه او په هر هغه پوله چې تاسو یې کنټرولوئ فلټرول. که ځواب را ورسیږي او کلاینټ سره له دې هم مخ ته نه ځي، پوښتنه له ترانسپورت وتلې او پالیسي یا حالت شوې ده.

د پرتلې پر مهال پیر او پروتوکول ثابت وساتئ، او په یاد ولرئ چې ځنډ، زیان، پالیسي او حالت هر یو بېل وخت کرښه جوړوي. موبایل شبکه په اتوماتيک ډول لامل نه ده، او ثابته کرښه په اتوماتيک ډول د هر اړتیا لپاره کافي باوري نه ده. تر هغه چې تبادله ژوندې ده دواړه لوري ثبت کړئ:

tcpdump -ni any -vv 'udp port 500 or udp port 4500'

کله چې لاسرسی د لرې پای دمخه ودریږي، ریکارډ بیا هم مرسته کوي که ووایي چېرته دریږي. یوازې پر پیل کوونکي نیول کولای شي وښیي چې غوښتنه وتلې او ځواب نه راځي، چې خرابي یوازې هغه هنګ ته ورټولوي چې له دې وروسته هر څه وي، پرته له دې چې داسې وانګېرئ چې پوهېږئ کوم هپ یې غورځولی. لرې کړۍ ناپېژندلې وښیئ او پرېږدئ چې بل لاسرسی لرونکی کس یې ډک کړي. داسې لیکل شوی ریکارډ صادق پاتې کېږي او بیا هم لنډ دی.

د هر څه بدلولو دمخه پرتله وکړئ. هماغه غوښتنه هماغه پیر ته د هماغه پروتوکول سره تکرارول بدلېدونکي د شمېرلو وړ ساتي، پداسې حال کې چې د نیولو ترمنځ ریسیټ، د کیلي نوي کول یا د پالیسي سمون پرتله له منځه وړي. که بدلون حتمي وي، سمدلاسه وروسته یې بیا ثبت کړئ تر څو مخکې او وروسته لا هم هماغه تبادله بیان کړي.

ګټور راپور څه وایي

د عمل وړ راپور یوه غوښتنه د هغې ځواب سره جوړه کوي او لومړی هغه ګام نوموي چې شاته ثبوت نه لري. هغه جمله د یوې اونۍ وروسته د هغه انجینر لخوا لوستلو ته پاتې کېږي چې هلته نه و، او بل کس ته د تورن پرځای د پیل ځای ورکوي.

یوازې د بیا لېږلو نظریې د ازموینې لپاره د هویت څېړنې مه کمزورې کوئ او نه د اجازه شوو پروتوکولونو ټولګه پراخوئ. د هر ریسیټ دمخه اصلي پاکټونه او د پېښو ریکارډونه وساتئ، ځکه ریسیټ هغه مواد له منځه وړي چې تاسو یې د راټولولو په حال کې وئ او هغه مهال پاکوي چې ښوده تبادله چېرته بندې شوې وه.

افسانه دا ده چې یو دوه ګونی د آپریټر ګناه ثابتوي. رېښتیا دا ده چې یو دوه ګونی د ټایمر پای ثابتوي، او ځواب د ځواب په لاره کې ژوند کوي.