ESP dešifruje v poriadku a vnútorný paket predsa nikam nedorazí

Počítadlo príjmu ESP rastie, tunel zostáva hore a aplikácia paket nikdy neuvidí. Dešifrovanie prebehlo, overenie integrity prešlo a potom musel príjemca rozhodnúť, čo chránený obsah vlastne je. Práve v tomto poslednom kroku sa objaví nesúlad formátu a zvonku to vôbec nevyzerá ako problém firewallu.

Čo uvidíte, keď štítok klame

Nič v protokole klienta to neodlíši od čiernej diery v smerovaní. Oboje vytvorí časový limit aplikácie vedľa zdravého tunela, preto sú prvé na vine počítadlá.

Rastúce počítadlo príjmu je naozaj dobrá správa: pakety prichádzajú a prechádzajú autentizáciou. Nie je to dôkaz, že vnútorný paket dával zmysel niečomu nad kryptografickou vrstvou.

Typ býva v traileri

V bežnom tunelovom režime IPsec obsahuje obsah chránený protokolom ESP úplný vnútorný IP paket. Pole nasledujúcej hlavičky v traileri určuje, čo tento obsah je, a nie je to port TCP, nie je to číslo protokolu vo vonkajšej hlavičke a nie je to súčasť počiatočného poľa SPI a čísla sekvencie. RFC 4303 oddiel 2.6 ho definuje ako pole typu obsahu, čo je presné meno pre presnú prácu.

Hodnoty, s ktorými sa stretnete, sú malé a stoja za zapamätanie: IPv4 je 4 (0x04) a IPv6 je 41 (0x29).

Tieto čísla pochádzajú z prideľovania čísel protokolov IANA, nie z miestnej konvencie. Odosielateľ, ktorý deklaruje IPv4 a pritom obaľuje paket IPv6, vytvoril nesúlad formátu, a žiadne pravidlo firewallu neopraví bajty, ktoré odporujú vlastnému štítku.

Ako to odlíšiť od obvyklých podozrivých

Väčšina chýbajúcich paketov nie sú chyby kódovania. Najprv skontrolujte selektory, pretože selektor prevádzky, ktorý vylučuje prefix IPv6, zahodí prevádzku skôr, než sa čokoľvek zapuzdrí. Potom skontrolujte smerovanie a následne miestne filtrovanie na prijímajúcom hostiteľovi. Až keď je to vylúčené, stáva sa nesúlad formátu obsahu vierohodným vysvetlením.

Šifrovaný odchyt to nerozhodne, pretože chránená nasledujúca hlavička je vnútri šifrovaného obsahu. Potrebujete diagnostiku implementácie alebo podporovaný pozorovací bod po dešifrovaní, a oboje vyžaduje pred použitím oprávnenie.

Ak nikto nedokáže predložiť taký dôkaz, nemáte chybu formátu. Máte teóriu a selektory zostávajú lepšou stávkou.

Čím oprava nie je

Nevypínajte kontroly integrity, aby prevádzka prešla. Neprepisujte šifrované pakety na medziľahlom routeri, pretože to nemôže fungovať a poškodí tok, pričom v odchyte to vyzerá užitočne. Neotvárajte širšie pravidlo firewallu pre aplikáciu na základe teórie, že je port zablokovaný. Nič z toho sa nedotýka nesúladu štítku.

Ak potvrdený nesúlad pochádza z implementácie partnera, uchovajte minimálnu vyčistenú reprodukciu a prinesiete ju do podporovaného kanála tejto implementácie.

Overte tok, nie počítadlo

Po oprave otestujte skutočný tok IPv6 od začiatku do konca: požiadavku aplikácie tunelom, jej odpoveď a dvojicu adries, ktorú pozoruje každá strana. Rastúce počítadlo ESP dokazuje len to, že pakety sú prijímané a autentizované. Nič nehovorí o tom, či bol vnútorný paket použiteľný.

Zapíšte do tiketu oba výsledky. Pohyb počítadla plus fungujúci tok je oprava; samotný pohyb počítadla je presne to, čo ste mali pred začiatkom.