ESP пришёл, но ничего не расшифровано? Пройдите по этапам входа

Когда счётчик шифрования на межсетевом экране растёт, а туннель ничего не доставляет, инстинкт подсказывает расширить правило доступа. Этот инстинкт пропускает собственную последовательность проверок получателя. Входящий пакет ESP проходит несколько этапов, и каждый может оборвать жизнь пакета по своей причине: нет подходящей ассоциации, сбой проверки повторения или целостности, либо внутренний пакет исправен, но дальше не разрешён. Назвать этап, на котором произошёл сбой, значит превратить расплывчатое утверждение о поломке IPsec в конкретный счётчик и конкретное исправление.

Прибытие это одно наблюдение, а не три

Внешняя запись, показывающая, что ESP доходит до шлюза, доказывает лишь то, что внешний пакет прибыл. Приём означает, что получатель нашёл ассоциацию и проверил пакет. Доставка означает, что восстановленный внутренний пакет был маршрутизирован к месту назначения и получил ответ. Это разные результаты, и панель, которая их объединяет, скрывает именно ту информацию, которая нужна.

То же различие объясняет частый отчёт: счётчик шифрования одной стороны растёт, а другая не сообщает о полезном расшифрованном трафике. Оба утверждения могут быть верны одновременно, потому что описывают разные этапы одной попытки.

Поиск ассоциации происходит до расшифрования

Получатель при необходимости собирает фрагменты, затем находит ассоциацию безопасности для пакета. При обычном unicast её выбирают SPI и адрес назначения. Без действительной ассоциации дальнейшая обработка не выполняется, поэтому устаревший или несоответствующий SPI даёт тишину вместо ошибки, видимой приложению.

Ассоциации направлены и могут меняться при обновлении ключей, поэтому запишите принимающую сторону, SPI и отметку времени рядом с входящей ассоциацией, которую считаете текущей. Показанная исходящая ассоциация или здоровая связь IKE не заменяет ту, которая должна принять этот пакет.

Проверки повторения и целостности отклоняют до появления полезной нагрузки

Как только ассоциация найдена, получатель применяет алгоритмы, которые она задаёт. Если защита от повторения включена, номер последовательности вне окна отклоняется. Сбой проверки целостности также завершает обработку, потому что ICV не совпадает с пакетом в том виде, в каком он был получен. Ни один случай не создаёт расшифрованный внутренний пакет, поэтому ничего не доходит до маршрутизации, политики или приложения.

Для этих состояний используйте документированные ошибки и счётчики реализации, а не трактуйте каждый сбой приёма как отказ списка доступа. Отключение целостности или защиты от повторения ради появления трафика не доказывает, что входящий пакет был законным; оно убирает проверку, которая говорила правду.

Порт UDP 4500 это контейнер, а не приговор

Проход через NAT несёт ESP внутри UDP, и тот же порт несёт сообщения IKE и поддержания связи. Поэтому активность на 4500 говорит, что что-то использует порт, а не что приложение создало пакет ESP. Классифицируйте полезную нагрузку, прежде чем относить её к трафику данных.

Это важно, когда запись единственное доступное доказательство. Сообщение поддержания связи, приходящее по расписанию, может заставить мёртвый туннель выглядеть живым, а сообщение IKE может заставить запись выглядеть более занятой, чем путь данных на самом деле.

Маршрутизация и политика применяются только после извлечения

Когда расшифрование успешно, восстановленный внутренний пакет входит в обычный путь: проверки политики, маршрутизация, правила пересылки и хост назначения. Пакет может пройти все проверки безопасности и всё равно быть отброшен здесь, и путь ответа тоже должен существовать. Этот сбой относится к пересылке, а не к ESP.

Держите счётчики привязанными к их документированному этапу. Приём на интерфейсе, принятый ESP, расшифрованные байты и пересланные внутренние пакеты не обязаны быть одним и тем же числом, особенно когда ускоренный путь обслуживает плоскость данных, а плоскость управления отчитывается отдельно. Общая надпись на панели не доказывает, что два счётчика означают одно и то же.

Для одной новой разрешённой операции сохраните последнюю подтверждённую границу и первую значимую ошибку. Эта пара подскажет следующему администратору, что исследовать: доставку транспорта, ассоциацию и целостность или обычную внутреннюю пересылку, и позволит избежать привычного исправления сделать каждое правило разрешающим, чтобы сдвинуть число.