ESP dorazilo, ale nič sa nedešifrovalo? Prejdite prichádzajúce fázy

Keď čítač šifrovania na firewalle rastie a tunel nič nedodáva, inštinkt je rozšíriť pravidlo prístupu. Ten inštinkt preskakuje vlastný sled kontrol príjemcu. Prichádzajúci paket ESP prechádza niekoľkými fázami a každá môže ukončiť život paketu z iného dôvodu: žiadna zodpovedajúca asociácia, zlyhanie kontroly opakovania alebo integrity, alebo vnútorný paket je v poriadku, ale nie je povolený ďalej. Pomenovanie fázy, ktorá zlyhala, premení neurčité tvrdenie, že IPsec je pokazený, na konkrétny čítač a konkrétnu opravu.

Príchod je jedno pozorovanie, nie tri

Vonkajší záznam ukazujúci, že ESP dorazilo k bráne, dokazuje len to, že vonkajší paket dorazil. Prijatie znamená, že príjemca našiel asociáciu a paket overil. Doručenie znamená, že obnovený vnútorný paket bol smerovaný k cieľu a dostal odpoveď. To sú oddelené výsledky a panel, ktorý ich zlučuje, skrýva práve tú informáciu, ktorú potrebujete.

Rovnaký rozdiel vysvetľuje časté hlásenie: čítač šifrovania jednej strany rastie, zatiaľ čo druhá nehlási žiadnu užitočnú dešifrovanú prevádzku. Obe tvrdenia môžu platiť súčasne, pretože opisujú rôzne fázy toho istého pokusu.

Hľadanie asociácie prebieha pred dešifrovaním

Príjemca v prípade potreby zloží fragmenty a potom nájde bezpečnostnú asociáciu pre paket. Pri bežnom unicaste ju vyberá SPI a cieľ. Bez platnej asociácie sa ďalej nespracúva, preto zastarané alebo nezodpovedajúce SPI vytvára ticho namiesto chyby viditeľnej pre aplikáciu.

Asociácie sú smerové a môžu sa počas obnovy kľúčov zmeniť, preto si poznamenajte prijímajúcu stranu, SPI a časovú pečiatku vedľa prichádzajúcej asociácie, ktorú považujete za aktuálnu. Zobrazená odchádzajúca asociácia alebo zdravý vzťah IKE nenahrádza tú, ktorá má tento paket prijať.

Kontroly opakovania a integrity odmietajú skôr, než existuje užitočné zaťaženie

Keď je asociácia nájdená, príjemca použije algoritmy, ktoré určuje. Ak je zapnutá ochrana proti opakovaniu, poradové číslo mimo okna sa odmietne. Zlyhanie kontroly integrity tiež ukončí spracovanie, pretože ICV nezodpovedá paketu v podobe, v akej dorazil. Ani jeden prípad nevytvára dešifrovaný vnútorný paket, takže sa nič nedostane do smerovania, politiky ani aplikácie.

Pre tieto stavy používajte dokumentované chyby a čítače implementácie, namiesto toho, aby ste každé zlyhanie príjmu považovali za zamietnutie prístupového zoznamu. Vypnutie integrity alebo ochrany proti opakovaniu, aby sa prevádzka objavila, nedokazuje, že prichádzajúci paket bol legitímny; odstraňuje kontrolu, ktorá hovorila pravdu.

Port UDP 4500 je kontajner, nie verdikt

Prechod cez NAT nesie ESP vnútri UDP a ten istý port nesie aj správy IKE a keepalive. Aktivita na 4500 teda hovorí, že port niečo používa, nie že aplikácia vytvorila paket ESP. Zaraďte obsah skôr, než ho priradíte dátovej prevádzke.

To je dôležité, keď je záznam jediným dostupným dôkazom. Správa keepalive, ktorá dorazí podľa plánu, môže mŕtvy tunel vyzerať živý, a správa IKE môže záznam vyzerať rušnejší, než dátová cesta v skutočnosti je.

Smerovanie a politika platia až po extrakcii

Keď dešifrovanie uspeje, obnovený vnútorný paket vstúpi do bežnej cesty: kontroly politiky, smerovanie, pravidlá presmerovania a cieľový hostiteľ. Paket môže prejsť všetkými bezpečnostnými kontrolami a napriek tomu tu byť zahodený, a cesta odpovede musí tiež existovať. To zlyhanie patrí presmerovaniu, nie ESP.

Držte čítače zviazané s ich dokumentovanou fázou. Príjem na rozhraní, prijaté ESP, dešifrované bajty a presmerované vnútorné pakety nemusia byť rovnaké číslo, najmä keď akcelerovaná cesta obsluhuje dátovú rovinu a riadiaca rovina hlási oddelene. Všeobecný štítok na paneli nie je dôkaz, že dva čítače znamenajú to isté.

Pre jednu novú povolenú operáciu si ponechajte poslednú potvrdenú hranicu a prvú relevantnú chybu. Tá dvojica povie ďalšiemu správcovi, čo vyšetriť: doručenie cez transport, asociáciu a integritu, alebo bežné vnútorné presmerovanie, a vyhne sa obvyklej oprave, keď sa každé pravidlo urobí povoľujúcim, aby sa číslo pohlo.