ESP mbërriti por asgjë nuk u dekriptua? Ndiqni fazat hyrëse

Kur numëruesi i kriptimit të një firewali rritet ndërsa tuneli nuk dorëzon asgjë, instinkti është të zgjerohet një rregull aksesi. Ky instinkt anashkalon sekuencën e vetë kontrollimeve të marrësit. Një paketë ESP hyrëse kalon nëpër disa faza dhe secila mund t'i japë fund jetës së paketës për një arsye të ndryshme: nuk ka shoqërim përputhës, një dështim ripërsëritjeje ose integriteti, ose paketa e brendshme është në rregull por nuk lejohet më tej. Emërtimi i fazës që dështoi e kthen një pohim të paqartë se IPsec është prishur në një numërues konkret dhe një rregullim konkret.

Mbërritja është një vëzhgim, jo tre

Një kapje e jashtme që tregon se ESP arrin portën provon vetëm se paketa e jashtme mbërriti. Pranimi do të thotë që marrësi gjeti shoqërimin dhe vërtetoi paketën. Dorëzimi do të thotë që paketa e brendshme e rikuperuar u drejtua në destinacionin e saj dhe u përgjigj. Këto janë rezultate të veçanta, dhe një panel që i bashkon ato fsheh pikërisht informacionin që ju nevojitet.

I njëjti dallim shpjegon një raport të zakonshëm: numëruesi i kriptimit i njërës anë rritet ndërsa ana tjetër nuk raporton asnjë trafik të dekriptuar të dobishëm. Të dy pohimet mund të jenë të vërteta njëkohësisht, sepse përshkruajnë faza të ndryshme të të njëjtit përpjekje.

Kërkimi i shoqërimit bëhet para dekriptimit

Marrësi rimbledh fragmentet nëse është e nevojshme, pastaj gjen shoqërimin e sigurisë për paketën. Në unicast të zakonshëm e zgjedhin SPI dhe destinacioni. Pa një shoqërim të vlefshëm nuk ka përpunim të mëtejshëm, prandaj një SPI i vjetruar ose i papërputhshëm prodhon heshtje në vend të një gabimi që aplikacioni e sheh.

Shoqërimet janë me drejtim dhe mund të ndryshojnë gjatë një rinovimi çelësash, prandaj shënoni palën marrëse, SPI-në dhe vulën kohore pranë shoqërimit hyrës që mendoni se është aktual. Një shoqërim dalës i shfaqur, ose një marrëdhënie IKE e shëndetshme, nuk e zëvendëson atë që duhet të marrë këtë paketë.

Kontrollimet e ripërsëritjes dhe integritetit refuzojnë para se të ekzistojë një ngarkesë

Pasi gjendet një shoqërim, marrësi zbaton algoritmet që ai përcakton. Nëse mbrojtja kundër ripërsëritjes është aktive, një numër sekuence jashtë dritares refuzohet. Një dështim i kontrollit të integritetit gjithashtu e përfundon përpunimin, sepse ICV nuk përputhet me paketën ashtu siç është marrë. Asnjëri rast nuk prodhon një paketë të brendshme të dekriptuar, kështu që asgjë nuk arrin drejtimin, politikën ose aplikacionin.

Për këto gjendje përdorni gabimet dhe numëruesit e dokumentuar të implementimit, në vend që çdo dështim pranimi ta trajtoni si refuzim të listës së aksesit. Çaktivizimi i integritetit ose i mbrojtjes kundër ripërsëritjes që trafiku të shfaqet nuk provon se paketa hyrëse ishte legjitime; heq kontrollin që thoshte të vërtetën.

Porta UDP 4500 është një enë, jo një verdikt

Kalimi përmes NAT e mban ESP brenda UDP, dhe e njëjta portë mban edhe mesazhet IKE dhe të mbajtjes së lidhjes. Prandaj aktiviteti në 4500 thotë se diçka po përdor portën, jo se aplikacioni prodhoi një paketë ESP. Klasifikoni ngarkesën para se t'ia atribuoni trafikut të dhënave.

Kjo ka rëndësi kur kapja është e vetmja provë e disponueshme. Një mesazh i mbajtjes së lidhjes që vjen në kohë mund ta bëjë një tunel të vdekur të duket i gjallë, dhe një mesazh IKE mund ta bëjë një kapje të duket më e zënë se sa është në të vërtetë rruga e të dhënave.

Vetëm pas nxjerrjes zbatohen drejtimi dhe politika

Kur dekriptimi ka sukses, paketa e brendshme e rikuperuar hyn në rrugën normale: kontrollet e politikës, drejtimi, rregullat e përcjelljes dhe hosti i destinacionit. Një paketë mund të kalojë çdo kontroll sigurie dhe gjithsesi të hidhet këtu, dhe rruga e përgjigjes duhet të ekzistojë gjithashtu. Ai dështim i përket përcjelljes, jo ESP.

Mbajini numëruesit të lidhur me fazën e tyre të dokumentuar. Pranimi në ndërfaqe, ESP i pranuar, bajtët e dekriptuar dhe paketat e brendshme të përcjella nuk duhet të jenë i njëjti numër, sidomos kur një rrugë e përshpejtuar merret me rrafshin e të dhënave dhe rrafshi i kontrollit raporton veçmas. Një etiketë e përgjithshme paneli nuk është provë se dy numërues nënkuptojnë të njëjtën gjë.

Për një operacion të ri të autorizuar, ruani kufirin e fundit të konfirmuar dhe gabimin e parë përkatës. Ai çift i tregon administratorit të ardhshëm çfarë të hetojë: dorëzimin e transportit, shoqërimin dhe integritetin, apo përcjelljen e zakonshme të brendshme, dhe shmang rregullimin e zakonshëm të bërjes së çdo rregulli lejues për të lëvizur një numër.