පිළිතුරක් නොමැති පිටතට යන ESP යනු VPN මිය ගොස් ඇති බවක් නොවේ
ESP එක් එක් සංගමය සඳහා එක් දිශාවක් ආරක්ෂා කරන අතර කිසිවක් තහවුරු නොකරයි. සේවාදායකය ප්‍රතිචාර නොදක්වන බව පැවසීමට පෙර අභ්‍යන්තර සංවාදය සහ ඇතුළතට එන SA ගළපන්න.
ඔබ IPsec සත්කාරකයේ ගමනාගමනය අල්ලා ගත්තා, ESP පැකට් පිටතට යන අයුරු දුටුවා, කිසිවක් ආපසු එන අයුරු නොදුටුවා, සහ දුර පැත්ත කැඩී ඇති බව නිගමනය කළා. එම අල්ලා ගැනීම එම නිගමනයට සහාය නොදක්වයි. ESP සංවාදයක එක් දිශාවක් ආරක්ෂා කරන අතර IP ස්ථරයේ කිසිවක් තහවුරු නොකරයි, එබැවින් ආපසු එන ESP නොමැති වීම යනු යෙදුමට කීමට කිසිවක් නොතිබූ බව විය හැකි අතර, එලෙසම උමං මාර්ගය මිය ගොස් ඇති බව ද විය හැකිය. කිසිදු කෙළවරක් දොස් නැගීමට පෙර අභ්‍යන්තර හුවමාරුව සහ ලබන්නාගේ පැත්තේ තත්ත්වය කියවන්න.
මිථ්‍යාව: සෑම ආරක්ෂිත පැකට්ටුවකටම පිළිතුරක් ලැබේ
ESP යනු ඉල්ලීම්-ප්‍රතිචාර ප්‍රොටෝකෝලයක් නොවේ. ප්‍රතිපත්තිය තෝරන සෑම දෙයක්ම එය සංකේතනය කර සත්‍යාපනය කරයි, ලබන්නා තමන් විසින්ම පැකට්ටුවක් නිපදවීමකින් තොරව එම අභ්‍යන්තර පැකට්ටුව වලංගු කර, විකේතනය කර, බෙදාහරියි. ගමනාන්තය නොසලකා හරින UDP විමසුමක් හෝ ඇතුළතට එන ප්‍රතිපත්තිය ඉවතලන ICMP ප්‍රතිරාවයක්, දිශා දෙකේම නිහඬතාවය නිවැරදි ප්‍රතිඵලය ලෙස ඇති කරයි. එම නිහඬතාවය ප්‍රවාහන දෝෂයක් ලෙස සැලකීම නිසා කිසිදා නොතිබූ ජාල දෝෂයක් සොයා ඔබව යවයි.
එක් දිශාවක අල්ලා ගැනීමක් ඇත්ත වශයෙන්ම ඔප්පු කරන්නේ එම නිරීක්ෂණ ලක්ෂ්‍යයේදී යවන්නාගේ ගොඩනැගිල්ල කිසිවක් සංකේතනය කළ බවයි. පැමිණීම ගැන කිසිවක් නොවේ, පිළිතුරු දීමේ අභිප්‍රාය ගැන ද කිසිවක් නොවේ. ප්‍රයෝජනවත් ප්‍රශ්නය „පිළිතුරක් නොමැති වන්නේ ඇයි“ යන්න නොව „අභ්‍යන්තර සංවාදය නිපදවිය යුතුව තිබුණේ කුමක්ද“ යන්නයි.
SA දෙකක්, SPI දෙකක්, එක් සංවාදයක්
IPsec ආරක්ෂක සංගම් එක් දිශාවකි, එබැවින් සාමාන්‍ය ආරක්ෂිත හුවමාරුවක් වෙන වෙනම හඳුනාගැනීම් සහ ස්වාධීන තත්ත්වයක් සහිත ඇතුළතට එන සංගමයක් සහ පිටතට යන සංගමයක් ක්‍රියාත්මක කරයි. පිටතට යන පැකට්ටුවේ SPI සඳහා ආපසු එන ගමනාගමනය සෙවීම එබැවින් කාණ්ඩ දෝෂයකි, මන්ද ඕනෑම පිළිතුරක් සහකරුගේම පිටතට යන SA යටතේ එහිම SPI සමඟ ගමන් කරයි. ඒ වෙනුවට යුගලය ගමනාගමන තේරීම් සහ සහකරුගේ ලිපින අනුව ගළපන්න.
යතුරු නැවත සැකසීම තත්පර කිහිපයක් සඳහා පින්තූරය සංකීර්ණ කරයි, මන්ද පැරණි සහ ප්‍රතිස්ථාපන තත්ත්වය එකිනෙක මත වැටිය හැකිය. රෝග ලක්ෂණ ආරම්භ වූයේ යතුරු වෙනස් කිරීමක් අවට නම්, සම්බන්ධතාවයේ නම පමණක් නොව සංගම් හඳුනාගැනීම් සහ වේලා මුද්‍රා එකට එකතු කරන්න.
යමක් පිළිතුරු දීමට පෙර ලබන්නා කළ යුතු දේ
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
සෑම පේළියක්ම ස්වාධීනව අසාර්ථක වන අතර සෑම දෝෂයකටම වෙනස් හිමිකරුවෙක් සිටී, එබැවින් එක් අල්ලා ගැනීමකට ඒවා වෙන් කළ නොහැක. ඇතුළතට එන ගණකය පැමිණීම පිළිබඳ එකම සෘජු සාක්ෂියයි, මන්ද සත්‍යාපනය හෝ නැවත ධාවන පරීක්ෂාව අසාර්ථක වන පැකට්ටුව කිසිදු ප්‍රතිචාරයකින් තොරව ඉවතලයි. එබැවින් ඇතුළතට එන ගණකය නොසෙල්වී ඇති සහකරු ඔහුගේ ප්‍රතිපත්තිය ගැන ඔබට කිසිදු තොරතුරක් ලබා නොදෙයි.
බෙදාහැරීම විකේතනයෙන් වෙන් වූ පියවරකි. තත්ත්වය වලංගු විය හැකි අතර පැකට්ටුව පසුව ඇතුළතට එන ප්‍රතිපත්තියක් හෝ අභ්‍යන්තර ගමනාන්තය ඇතුළත් නොවන මාර්ගයක් මගින් ඉවතලිය හැකිය, එබැවින් පිරිසිදු ගණකයක් යනු පැකට්ටුව ඔබට අවශ්‍ය තැනට ගිය බව යැයි උපකල්පනය කරනවාට වඩා ඉලක්ක සත්කාරකය පැහැදිලි පෙළ දුටුවාදැයි පරීක්ෂා කරන්න.
මුල් ESP යනු UDP නොවේ
මුල් ESP යනු IP ප්‍රොටෝකෝලය 50 වන අතර එය TCP හෝ UDP නොවේ, එයට කිසිදු තොටුවක් නොමැත. එබැවින් UDP 500 මත IKE ට අවසර දෙන ෆයර්වෝල් රීතියක් දත්ත මාර්ගය ගැන කිසිවක් නොකියයි, තොටු වටා ලියන ලද පෙරහනකට උමං මාර්ගයට සාකච්ඡා කිරීමට ඉඩ දී පසුව එහි ගෙන යන සියල්ල ඉවතලිය හැකිය. දත්ත මාර්ගය ඔබ ඇත්ත වශයෙන්ම නිරීක්ෂණය කළ මාදිලියේ වෙන වෙනම පරීක්ෂා කරන්න.
NAT පිටුපස හැඩය වෙනස් වේ: ආරක්ෂිත පේලෝඩය UDP තුළ ගමන් කරයි, සාමාන්‍යයෙන් 4500 තොටේ, RFC 3948 නිර්වචනය කරන පරිදි. ඕනෑම රීතියක් ලිවීමට පෙර සක්‍රීය මාදිලිය සටහන් කරන්න, මන්ද මාර්ගයේ ඇති උපාංගයකට මුල් ESP සහ UDP තුළ කාවැද්දූ ESP සම්පූර්ණයෙන්ම වෙනස් ලෙස හැසිරවිය හැකිය, සමහර මැද පෙට්ටි එකකට ඉඩ දී අනෙක ඉවතලයි.
මෙම සිද්ධියට අයත් ගණක කියවන්න
strongSwan සත්කාරකයේ swanctl --list-sas දිශා දෙකේම එක් එක් සංගමයේ පැකට් සහ බයිට් ගණක වාර්තා කරයි, එය „කිසිදා නොපැමිණියා“ සහ „පැමිණ පිළිතුරු නොදුන්නා“ වෙන් කිරීමට ප්‍රමාණවත්ය. Linux හි /proc/net/xfrm_stat නොමැති තත්ත්වය, නොමැති ප්‍රතිපත්තිය සහ ප්‍රොටෝකෝල දෝෂ වැනි සමස්ත අසාර්ථකතා ගණන් කරයි. එම එකතුවන් ඇරඹුමේ සිට සමුච්චය වන අතර එක් ජාල නාම අවකාශයකට අයත් වේ, එබැවින් විශාල සංඛ්‍යාවක් යනු ආරෝපණයක් නොවේ.
නිවැරදි නාම අවකාශයේ සිද්ධි කවුළුව වටා කියවීම් දෙකක් ලබාගෙන වෙනස්කම් සසඳන්න, එසේ නොකළොත් පසුගිය සතියේ දෝෂ අද සවස ටිකට්ටුවට අමුණනු ඇත. නාම අවකාශය සහ වේලා මුද්‍රා දෙකම ටිකට්ටුවේ තබන්න, එවිට ඊළඟ කියවන්නාට එකතුවක් විශ්වාස කරනවාට වඩා සංසන්දනය නැවත නිපදවිය හැකිය.
අදියර නම් කරන්න, සැකකරු නොවේ
ප්‍රයෝජනවත් නිගමනයක් පවසන්නේ පැකට්ටුව නැවතුණේ කොහේද යන්නයි: කිසිදා නොලැබුණි, ලැබී ඉවතලනු ලැබුණි, බෙදාහැරිය නමුත් පිළිතුරක් නැත, නැතහොත් පිළිතුරු දී ආපසු යන අතරමග නැති විය. ඒවායින් එකක් එක් එක් වෙනස් හිමිකරුවෙකුට සහ වෙනස් ඊළඟ විධානයකට යොමු කරයි. „VPN සේවාදායකයෙන් පිළිතුරක් නැත“ යනු වෙනස් දෝෂ හතරක් අල්ලා ගැනීම කිසිදා සාධාරණීකරණය නොකළ එක් වාක්‍යයකට එකට හකුළුවා දමයි.
අල්ලා ගැනීම් පටුව තබන්න, සහ කර්නලයේ අමු තත්ත්වය ටිකට්වලින් බැහැර තබන්න, මන්ද එය සත්කාරකයෙන් පිටවිය යුතු නොවන යතුරු ද්‍රව්‍ය ගෙන යා හැකිය. ගණක වෙනස්කම් සහ වේලා මුද්‍රා ඊළඟ පුද්ගලයාට දිය යුතු වටිනා කොටස් වේ.