ویستل شوی ESP پرته له ځواب پدې معنی نه دی چې VPN مړ دی
ESP د هر ټولګي لپاره یوه لوری ساتي او هېڅ هم نه تاییدوي۔ مخکې لدې چې سرور بې ځوابه وبولئ، داخلي خبرې اترې او راتلونکې SA سره سمون ورکړئ۔
تاسو د IPsec کوربه باندې ټرافیک ونیوله، ولیدل چې ESP بستې وتښتې، ولیدل چې هېڅ هم بېرته نه راځي، او دې پایلې ته ورسېدئ چې لرې اړخ خراب دی۔ نیول دې پایلې ملاتړ نه کوي۔ ESP د خبرو اترو یوه لوری ساتي او د IP په کچه هېڅ هم نه تاییدوي، نو د بېرته راتلو ESP نه شتون کولای شي په همدې اسانۍ معنی ولري چې اپلیکیشن د ویلو لپاره هېڅ نه درلود، لکه څنګه چې کولای شي معنی ولري چې تونل مړ دی۔ مخکې لدې چې هره پایه ملامته کړئ، داخلي تبادله او د ترلاسه کوونکي اړخ حالت ولولئ۔
افسانه: هره ساتل شوې بسته ځواب ترلاسه کوي
ESP د غوښتنې او ځواب پروتوکول نه دی۔ هغه هر هغه څه کوډ کوي او تصدیقوي چې پالیسي یې ټاکي، او ترلاسه کوونکی هغه داخلي بسته پخپله د بستې په جوړولو پرته تصدیق، ډیکوډ او رسول کوي۔ یوه UDP پوښتنه چې منزل یې له پامه غورځوي، یا یو ICMP انګور چې راتلونکې پالیسي یې ردوي، په دواړو لورو کې غلطتیا د سمې پایلې په توګه رامنځته کوي۔ هغه غلطتیا د ټرانسپورټ ناکامي ګڼل تاسو د هغې شبکې خرابۍ په لټه کې بېولي چې هېڅکله نه وه۔
د یوې لوري نیول په حقیقت کې دا ثابتوي چې د لېږدوونکي سټیک په هغه څارنې نقطه کې یو څه کوډ کړي۔ د رسېدو په اړه هېڅ، او د ځواب ورکولو په اراده هم هېڅ۔ ګټوره پوښتنه دا نه ده چې „ولې ځواب نشته“ بلکې دا ده چې „داخلي خبرې اترې باید څه تولید کړي وای“۔
دوه SA، دوه SPI، یوه خبره اتره
د IPsec امنیتي ټولګې یو لوري دي، نو عادي ساتل شوې تبادله یوه راتلونکې ټولګه او یوه وتلونکې ټولګه د جلا پیژندونکو او خپلواک حالت سره چلوي۔ د وتلونکې بستې د SPI لپاره د بېرته راتلو ټرافیک لټول له همدې کبله د کټګورۍ تېروتنه ده، ځکه چې هره ځواب د ملګري خپلې وتلونکې SA لاندې د خپل SPI سره سفر کوي۔ پرځای یې جوړه د ټرافیک ټاکونکو او د ملګري پتو له مخې سره سمون ورکړئ۔
د کیلي بدلون د څو ثانیو لپاره انځور پېچلی کوي، ځکه چې زوړ او بدلونکی حالت کولای شي یو بل ته ورسېږي۔ که نښه د کیلي بدلون شاوخوا پیل شوې وي، د ټولګې پیژندونکي او وختونه یو ځای راټول کړئ نه یوازې د اړیکې نوم۔
ترلاسه کوونکی باید څه وکړي مخکې لدې چې هر څه ځواب ورکړي
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
هره کرښه په خپلواک ډول ناکامېږي او هره ناکامي بېل مالک لري، له همدې کبله یوه نیول نشي کولای هغوی سره بېل کړي۔ راتلونکی شمارونکی د رسېدو یوازینی مستقیم شاهد دی، ځکه چې هغه بسته چې تصدیق یا د تکرار ازموینه ناکامه کړي، پرته له هېڅ ځوابه ردېږي۔ له همدې کبله هغه ملګری چې راتلونکی شمارونکی یې نه دی خوځېدلی، تاسو ته د هغه د پالیسي په اړه هېڅ معلومات نه درکوي۔
رسول د ډیکوډ کولو څخه جلا ګام دی۔ حالت کولای شي سم وي او بسته بیا هم وروسته د راتلونکې پالیسي یا هغې لارې له خوا رد شي چې داخلي منزل نه لري، نو پرځای دې چې فرض کړئ پاک شمارونکی معنی لري بسته هلته لاړه چې تاسو غوښتل، وګورئ چې هدف کوربه روښانه متن ولید او که نه۔
اصلي ESP UDP نه دی
اصلي ESP IP پروتوکول 50 دی، چې نه TCP دی او نه UDP او هېڅ پورټ نه لري۔ نو هغه فایر وال قاعده چې په UDP 500 باندې IKE ته اجازه ورکوي د ډیټا لارې په اړه هېڅ نه وایي، او د پورټونو شاوخوا لیکل شوی فلټر کولای شي تونل ته اجازه ورکړي چې خبرې وکړي او بیا هر هغه څه رد کړي چې دننه یې وړل کیږي۔ د ډیټا لاره په خپلواک ډول، په هغه حالت کې چې تاسو واقعاً لیدلی، وازموئ۔
د NAT شاته بڼه بدلېږي: ساتل شوی پیلوډ د UDP دننه سفر کوي، معمولاً په 4500 پورټ، لکه څنګه چې RFC 3948 تعریفوي۔ مخکې لدې چې هره قاعده ولیکئ، فعال حالت ثبت کړئ، ځکه چې په لار کې وسیله کولای شي اصلي ESP او په UDP کې نغښتی ESP په بشپړ ډول بېل ډول چلند وکړي، او ځینې منځنۍ وسیلې یوې ته اجازه ورکوي او بل ردوي۔
هغه شمارونکي ولولئ چې دې پېښې پورې اړه لري
د strongSwan کوربه باندې swanctl --list-sas په دواړو لورو کې د هرې ټولګې بستې او بایټ شمارونکي راپور کوي، چې د „هېڅکله نه راغله“ او „راغله او ځواب نه ورکړل شو“ ترمنځ بېلولو لپاره بسنه کوي۔ په Linux باندې /proc/net/xfrm_stat ټولیز ناکامۍ لکه نیمګړی حالت، نیمګړې پالیسي او د پروتوکول تېروتنې شماروي۔ هغه ټولټالونه له بوت څخه راټولیږي او یوې شبکې نوم فضا پورې اړه لري، نو لوی شمېر تورن نه دی۔
په سمه نوم فضا کې د پېښې کړکۍ شاوخوا دوه لوستنې واخلئ او توپیرونه سره پرتله کړئ، که نه نو د تېرې اونۍ تېروتنې به د نن ماسپښین ټکټ ته وټاکئ۔ نوم فضا او دواړه وختونه په ټکټ کې ولیکئ ترڅو بل لوستونکی پرځای دې چې پر ټولټال باور وکړي، پرتله تکرار کړای شي۔
پړاو ته نوم ورکړئ، نه تورن ته
ګټوره پایله وایي چې بسته چېرته ودرېده: هېڅکله ونه رسېده، ورسېده او رد شوه، ورسول شوه خو ځواب نه، یا ځواب ورکړل شو او په بېرته راتلو کې ورکه شوه۔ له دې هر یو بېل مالک او بېل بل حکم ته اشاره کوي۔ „له VPN سرور څخه هېڅ ځواب نشته“ څلور بېلې خرابۍ په یوه جمله کې چې نیول هېڅکله توجیه نه کړې، سره یوځای کوي۔
نیول تنګ وساتئ، او د کرنل خام حالت له ټکټونو بهر وساتئ، ځکه چې کولای شي د کیلي مواد ولري چې باید کوربه پریږدي نه۔ د شمارونکو توپیرونه او وختونه هغه برخې دي چې بل کس ته د ورکولو ارزښت لري۔