ESP je stigao, ali ništa nije dešifrirano? Pratite ulazne faze

Kad brojač šifriranja na firewallu raste, a tunel ne dostavlja ništa, instinkt je proširiti pravilo pristupa. Taj instinkt preskače vlastiti slijed provjera na prijemniku. Ulazni ESP paket prolazi kroz nekoliko faza, a svaka može okončati život paketa iz drugog razloga: nema odgovarajuće asocijacije, neuspjeh ponavljanja ili integriteta, ili je unutrašnji paket ispravan ali nije dopušten dalje. Imenovanje faze koja je zakazala pretvara neodređenu tvrdnju da je IPsec pokvaren u konkretan brojač i konkretnu popravku.

Dolazak je jedno zapažanje, ne tri

Vanjsko snimanje koje pokazuje da ESP stiže do pristupnika dokazuje samo da je vanjski paket stigao. Prihvat znači da je prijemnik pronašao asocijaciju i provjerio paket. Dostava znači da je obnovljeni unutrašnji paket usmjeren do odredišta i da je odgovoreno. To su odvojeni ishodi, a nadzorna ploča koja ih spaja skriva točno podatak koji vam treba.

Ista razlika objašnjava čestu prijavu: brojač šifriranja jedne strane raste, dok druga ne izvještava o korisnom dešifriranom prometu. Obje tvrdnje mogu biti istinite istovremeno, jer opisuju različite faze istog pokušaja.

Traženje asocijacije događa se prije dešifriranja

Prijemnik po potrebi sastavlja fragmente, zatim pronalazi sigurnosnu asocijaciju za paket. Za obični unicast biraju je SPI i odredište. Bez valjane asocijacije nema dalje obrade, zato zastarjeli ili neusklađeni SPI daje tišinu, a ne pogrešku vidljivu aplikaciji.

Asocijacije su usmjerene i mogu se promijeniti tijekom obnove ključeva, pa zabilježite prijamnu stranu, SPI i vremensku oznaku uz ulaznu asocijaciju koju smatrate trenutnom. Prikazana izlazna asocijacija ili zdrava IKE veza nije zamjena za onu koja bi trebala primiti ovaj paket.

Provjere ponavljanja i integriteta odbijaju prije nego postoji sadržaj

Kad je asocijacija pronađena, prijemnik primjenjuje algoritme koje ta asocijacija određuje. Ako je zaštita od ponavljanja uključena, redni broj izvan prozora se odbija. Neuspjeh provjere integriteta također prekida obradu, jer se ICV ne podudara s paketom kakav je primljen. Nijedan slučaj ne stvara dešifrirani unutrašnji paket, pa ništa ne dospijeva do usmjeravanja, politike ni aplikacije.

Za ta stanja koristite dokumentirane pogreške i brojače implementacije umjesto da svaki neuspjeh prijema tretirate kao odbijanje popisa pristupa. Isključivanje integriteta ili zaštite od ponavljanja da bi se promet pojavio ne dokazuje da je dolazni paket bio legitiman; time se uklanja provjera koja je govorila istinu.

UDP port 4500 je spremnik, ne presuda

NAT provlačenje nosi ESP unutar UDP-a, a isti port nosi i IKE te poruke o održavanju veze. Aktivnost na 4500 zato govori da nešto koristi port, a ne da je aplikacija proizvela ESP paket. Razvrstajte sadržaj prije nego ga pripišete podatkovnom prometu.

To je važno kad je snimanje jedini dostupni dokaz. Poruka o održavanju veze koja stiže po rasporedu može mrtav tunel prikazati živim, a IKE poruka može snimanje prikazati zauzetijim nego što podatkovni put doista jest.

Usmjeravanje i politika primjenjuju se tek nakon izdvajanja

Kad dešifriranje uspije, obnovljeni unutrašnji paket ulazi u uobičajeni put: provjere politike, usmjeravanje, pravila prosljeđivanja i odredišni host. Paket može proći sve sigurnosne provjere i ipak biti odbačen ovdje, a put povratka također mora postojati. Taj neuspjeh pripada prosljeđivanju, ne ESP-u.

Držite brojače vezane uz njihovu dokumentiranu fazu. Prijem na sučelju, prihvaćeni ESP, dešifrirani bajtovi i proslijeđeni unutrašnji paketi ne moraju biti isti broj, pogotovo kad ubrzani put vodi podatkovnu ravninu, a upravljačka ravnina izvještava odvojeno. Općenita oznaka na nadzornoj ploči nije dokaz da dva brojača znače isto.

Za jednu novu odobrenu operaciju zadržite posljednju potvrđenu granicu i prvu relevantnu pogrešku. Taj par govori sljedećem administratoru što istraživati: dostavu prometa, asocijaciju i integritet ili obično unutrašnje prosljeđivanje, i izbjegava uobičajenu popravku da svako pravilo postane dopuštajuće kako bi se broj pomaknuo.