ESP je prispel, a nič ni bilo dešifrirano? Sledite vhodnim stopnjam

Ko števec šifriranja na požarnem zidu raste, tunel pa ničesar ne dostavi, je instinkt razširiti pravilo dostopa. Ta instinkt preskoči lastno zaporedje preverjanj prejemnika. Vhodni paket ESP gre skozi več stopenj in vsaka lahko konča življenje paketa iz drugega razloga: ni ustrezne asociacije, napaka pri ponovitvi ali celovitosti, ali je notranji paket v redu, a ni dovoljen naprej. Poimenovanje stopnje, ki je spodletela, spremeni nejasno trditev, da je IPsec pokvarjen, v določen števec in določen popravek.

Prihod je eno opažanje, ne tri

Zunanji posnetek, ki kaže, da ESP doseže prehod, dokazuje le, da je zunanji paket prispel. Sprejem pomeni, da je prejemnik našel asociacijo in paket preveril. Dostava pomeni, da je bil obnovljeni notranji paket usmerjen do cilja in je prejel odgovor. To so ločeni rezultati, nadzorna plošča, ki jih združi, pa skrije natanko tisto informacijo, ki jo potrebujete.

Ista razlika pojasnjuje pogosto poročilo: števec šifriranja ene strani raste, medtem ko druga ne poroča o nobenem koristnem dešifriranem prometu. Obe trditvi lahko veljata hkrati, ker opisujeta različni stopnji istega poskusa.

Iskanje asociacije poteka pred dešifriranjem

Prejemnik po potrebi znova sestavi fragmente in nato najde varnostno asociacijo za paket. Pri običajnem unicastu jo izbereta SPI in cilj. Brez veljavne asociacije ni nadaljnje obdelave, zato zastarel ali neustrezen SPI povzroči tišino namesto napake, ki bi jo aplikacija videla.

Asociacije so usmerjene in se med obnovitvijo ključev lahko spremenijo, zato zapišite prejemno stran, SPI in časovni žig ob vhodni asociaciji, ki jo imate za trenutno. Prikazana izhodna asociacija ali zdrava povezava IKE ne nadomesti tiste, ki bi morala prejeti ta paket.

Preverjanja ponovitve in celovitosti zavrnejo, preden obstaja tovor

Ko je asociacija najdena, prejemnik uporabi algoritme, ki jih ta določa. Če je zaščita pred ponovitvijo vklopljena, se zaporedna številka zunaj okna zavrne. Tudi napaka preverjanja celovitosti konča obdelavo, ker ICV ne ustreza paketu, kot je bil prejet. Noben primer ne ustvari dešifriranega notranjega paketa, zato nič ne doseže usmerjanja, politike ali aplikacije.

Za ta stanja uporabite dokumentirane napake in števce implementacije, namesto da bi vsako napako sprejema obravnavali kot zavrnitev na seznamu dostopa. Izklop celovitosti ali zaščite pred ponovitvijo, da bi se promet pojavil, ne dokazuje, da je bil vhodni paket zakonit; odstrani preverjanje, ki je govorilo resnico.

Vrata UDP 4500 so vsebnik, ne sodba

Prehod NAT prenaša ESP znotraj UDP, ista vrata pa prenašajo tudi sporočila IKE in keepalive. Dejavnost na 4500 torej pove, da nekaj uporablja vrata, ne da je aplikacija ustvarila paket ESP. Razvrstite tovor, preden ga pripišete podatkovnemu prometu.

To je pomembno, ko je posnetek edini razpoložljivi dokaz. Sporočilo keepalive, ki prispe pravočasno, lahko naredi mrtev tunel videti živ, sporočilo IKE pa lahko naredi posnetek videti bolj zaseden, kot je podatkovna pot v resnici.

Šele po izluščenju veljata usmerjanje in politika

Ko dešifriranje uspe, obnovljeni notranji paket vstopi na običajno pot: preverjanja politike, usmerjanje, pravila posredovanja in ciljni gostitelj. Paket lahko prestane vse varnostne preglede in je tu vseeno zavržen, tudi povratna pot mora obstajati. Ta napaka pripada posredovanju, ne ESP.

Števce držite vezane na njihovo dokumentirano stopnjo. Sprejem na vmesniku, sprejeti ESP, dešifrirani bajti in posredovani notranji paketi niso nujno isto število, zlasti ko pospešena pot obdeluje podatkovno ravnino, krmilna ravnina pa poroča ločeno. Splošna oznaka na nadzorni plošči ni dokaz, da dva števca pomenita isto.

Za eno novo dovoljeno operacijo ohranite zadnjo potrjeno mejo in prvo pomembno napako. Ta par pove naslednjemu skrbniku, kaj preiskati: dostavo prek prevoza, asociacijo in celovitost ali običajno notranje posredovanje, in se izogne običajnemu popravku, da vsako pravilo postane dovoljujoče, da bi premaknili število.