ESP a ajuns, dar nimic nu a fost decriptat? Urmați etapele de intrare

Când contorul de criptare al unui firewall crește în timp ce tunelul nu livrează nimic, instinctul este să lărgești o regulă de acces. Acel instinct sare peste propria secvență de verificări a receptorului. Un pachet ESP de intrare trece prin mai multe etape, iar fiecare poate încheia viața pachetului dintr-un motiv diferit: nicio asociere potrivită, o eroare de reluare sau de integritate, sau un pachet interior corect dar nepermis mai departe. Numirea etapei care a eșuat transformă o afirmație vagă că IPsec este stricat într-un contor anume și o corecție anume.

Sosirea este o observație, nu trei

O captură externă care arată că ESP ajunge la gateway dovedește doar că pachetul exterior a sosit. Acceptarea înseamnă că receptorul a găsit asocierea și a validat pachetul. Livrarea înseamnă că pachetul interior recuperat a fost rutat către destinație și i s-a răspuns. Sunt rezultate separate, iar un panou care le fuzionează ascunde exact informația de care aveți nevoie.

Aceeași distincție explică un raport obișnuit: contorul de criptare al unei părți crește în timp ce cealaltă nu raportează niciun trafic decriptat util. Ambele afirmații pot fi adevărate simultan, pentru că descriu etape diferite ale aceleiași încercări.

Căutarea asocierii are loc înainte de decriptare

Receptorul reasamblează fragmentele dacă este nevoie, apoi găsește asocierea de securitate pentru pachet. În unicast obișnuit, SPI și destinația o aleg. Fără o asociere validă nu există procesare suplimentară, de aceea un SPI învechit sau nepotrivit produce tăcere în loc de o eroare vizibilă pentru aplicație.

Asocierile sunt direcționale și se pot schimba în timpul unei reînnoiri de chei, așa că notați partea receptoare, SPI și marca de timp lângă asocierea de intrare pe care o considerați actuală. O asociere de ieșire afișată, sau o relație IKE sănătoasă, nu o înlocuiește pe cea care ar trebui să primească acest pachet.

Verificările de reluare și integritate resping înainte de a exista o încărcătură utilă

După ce asocierea este găsită, receptorul aplică algoritmii pe care aceasta îi specifică. Dacă protecția împotriva reluării este activă, un număr de secvență din afara ferestrei este respins. O eroare a verificării de integritate încheie și ea procesarea, pentru că ICV nu corespunde pachetului așa cum a fost primit. Niciunul dintre cazuri nu produce un pachet interior decriptat, deci nimic nu ajunge la rutare, politică sau aplicație.

Pentru aceste stări folosiți erorile și contoarele documentate ale implementării, în loc să tratați fiecare eșec de recepție ca o respingere a listei de acces. Dezactivarea integrității sau a protecției împotriva reluării ca să apară trafic nu dovedește că pachetul de intrare a fost legitim; elimină verificarea care spunea adevărul.

Portul UDP 4500 este un container, nu o sentință

Traversarea NAT transportă ESP în interiorul UDP, iar același port transportă și mesaje IKE și de menținere a conexiunii. Activitatea pe 4500 spune deci că ceva folosește portul, nu că aplicația a produs un pachet ESP. Clasificați încărcătura înainte de a o atribui traficului de date.

Acest lucru contează când captura este singura dovadă disponibilă. Un mesaj de menținere care sosește la timp poate face un tunel mort să pară viu, iar un mesaj IKE poate face o captură să pară mai aglomerată decât este în realitate calea de date.

Abia după extragere se aplică rutarea și politica

Când decriptarea reușește, pachetul interior recuperat intră pe calea normală: verificări de politică, rutare, reguli de redirecționare și gazda de destinație. Un pachet poate trece de toate verificările de securitate și totuși poate fi eliminat aici, iar calea de răspuns trebuie și ea să existe. Acel eșec aparține redirecționării, nu ESP.

Țineți contoarele legate de etapa lor documentată. Recepția pe interfață, ESP acceptat, octeții decriptați și pachetele interioare redirecționate nu trebuie să fie același număr, mai ales când o cale accelerată se ocupă de planul de date și planul de control raportează separat. O etichetă generică de panou nu este dovada că două contoare înseamnă același lucru.

Pentru o singură operațiune autorizată nouă, păstrați ultima limită confirmată și prima eroare relevantă. Acea pereche îi spune următorului administrator ce să investigheze: livrarea pe transport, asocierea și integritatea, sau redirecționarea interioară obișnuită, și evită corecția obișnuită de a face fiecare regulă permisivă pentru a mișca un număr.