ESP chegou mas nada foi decifrado? Siga as etapas de entrada

Quando o contador de criptografia de um firewall sobe enquanto o túnel não entrega nada, o instinto é ampliar uma regra de acesso. Esse instinto ignora a própria sequência de verificações do receptor. Um pacote ESP de entrada passa por várias etapas, e cada uma pode encerrar a vida do pacote por um motivo diferente: nenhuma associação correspondente, uma falha de repetição ou de integridade, ou um pacote interno correto mas não permitido adiante. Nomear a etapa que falhou transforma uma afirmação vaga de que o IPsec está quebrado num contador específico e numa correção específica.

A chegada é uma observação, não três

Uma captura externa mostrando que o ESP chega ao gateway prova apenas que o pacote externo chegou. A aceitação significa que o receptor encontrou a associação e validou o pacote. A entrega significa que o pacote interno recuperado foi encaminhado ao destino e respondido. São resultados separados, e um painel que os funde esconde exatamente a informação de que você precisa.

A mesma distinção explica um relato comum: o contador de criptografia de um lado sobe enquanto o outro não relata nenhum tráfego decifrado útil. Ambas as afirmações podem ser verdadeiras ao mesmo tempo, porque descrevem etapas diferentes da mesma tentativa.

A procura da associação ocorre antes da decifração

O receptor remonta os fragmentos se necessário e depois encontra a associação de segurança do pacote. No unicast comum, o SPI e o destino escolhem-na. Sem uma associação válida não há processamento adicional, por isso um SPI desatualizado ou incompatível produz silêncio em vez de um erro visível para a aplicação.

As associações são direcionais e podem mudar durante uma renovação de chaves, portanto anote o par receptor, o SPI e o carimbo de tempo ao lado da associação de entrada que considera atual. Uma associação de saída exibida, ou uma relação IKE saudável, não substitui a que deveria receber este pacote.

As verificações de repetição e integridade rejeitam antes de existir uma carga útil

Uma vez encontrada a associação, o receptor aplica os algoritmos que ela especifica. Se a proteção contra repetição estiver ativa, um número de sequência fora da janela é rejeitado. Uma falha na verificação de integridade também encerra o processamento, porque o ICV não corresponde ao pacote tal como foi recebido. Nenhum dos casos produz um pacote interno decifrado, então nada chega ao encaminhamento, à política ou à aplicação.

Use os erros e contadores documentados da implementação para esses estados em vez de tratar cada falha de recepção como negação da lista de acesso. Desativar a integridade ou a proteção contra repetição para que o tráfego apareça não prova que o pacote de entrada fosse legítimo; remove a verificação que dizia a verdade.

A porta UDP 4500 é um contêiner, não um veredito

A travessia NAT transporta o ESP dentro do UDP, e a mesma porta também transporta mensagens IKE e de keepalive. Atividade na 4500, portanto, diz que algo usa a porta, não que a aplicação produziu um pacote ESP. Classifique a carga útil antes de atribuí-la ao tráfego de dados.

Isso importa quando a captura é a única evidência disponível. Uma mensagem de keepalive que chega na hora certa pode fazer um túnel morto parecer vivo, e uma mensagem IKE pode fazer uma captura parecer mais movimentada do que o caminho de dados realmente é.

Só depois da extração se aplicam o encaminhamento e a política

Quando a decifração é bem-sucedida, o pacote interno recuperado entra no caminho normal: verificações de política, encaminhamento, regras de repasse e o host de destino. Um pacote pode passar por todas as verificações de segurança e ainda assim ser descartado aqui, e o caminho de resposta também precisa existir. Essa falha pertence ao encaminhamento, não ao ESP.

Mantenha os contadores ligados à sua etapa documentada. Recepção na interface, ESP aceito, bytes decifrados e pacotes internos repassados não precisam ser o mesmo número, sobretudo quando um caminho acelerado cuida do plano de dados e o plano de controle relata separadamente. Um rótulo genérico do painel não é prova de que dois contadores signifiquem a mesma coisa.

Para uma nova operação autorizada, guarde o último limite confirmado e o primeiro erro relevante. Esse par diz ao próximo administrador se deve investigar a entrega do transporte, a associação e a integridade, ou o encaminhamento interno comum, e evita a correção habitual de tornar permissiva cada regra para mover um número.