Sa shuma kontrolli ka një paketë VPN? Varet

Pohimi se një paketë VPN mban saktësisht dy shuma kontrolli tingëllon i rregullt dhe është mjaft shpesh i gabuar sa ia vlen të zbërthehet. Numri varet nga cilat versione IP shfaqen, cili protokoll transporti transportohet dhe cili format mbrojtjeje përdor tuneli. Një shumë kontrolli e kreut, një shumë kontrolli e shtresës së sipërme dhe një etiketë kriptografike integriteti janë tre mekanizma me tre shtrirje. Numërimi i tyre fillon me shënimin e asaj që mbulon secili.

Kontrolloni cilat versione IP janë vërtet në tel

Krerët IPv4 mbajnë një shumë kontrolli kreu 16-bit, dhe krerët IPv6 nuk mbajnë asgjë të tillë. Ky fakt i vetëm ndryshon numrin për çdo tunel, sepse mbështjellja e IPv4 brenda IPv6 dhe e IPv6 brenda IPv4 prodhon dokumente të ndryshme. Një tunel mund të mbajë të dyja familjet njëkohësisht, dhe në atë rast një drejtim mund të përmbajë një fushë që tjetri nuk e ka. Përcaktoni versionet përpara se të numëroni çdo gjë.

Shkruani strukturën si listë krerësh dhe jo si figurë. Rendi ka rëndësi kur lexohet një kapje, dhe prania ose mungesa e fushës së shumës së kontrollit është gjëja e parë që duhet shënuar.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Rreshti i parë nuk ka asnjë shumë kontrolli të kreut IP askund në krerët e tij IP, ndërsa i dyti ka dy kur të dy krerët janë IPv4. E njëjta teknologji tuneli, numër tjetër, dhe asnjëri rresht nuk është format i plotë i telit.

Kontrolloni çfarë mbulon secila shumë kontrolli

Mbulimi është pjesa që njerëzit e anashkalojnë, dhe është ajo që i jep kuptim një numri. Shuma e kontrollit e kreut IPv4 mbron kreun dhe asgjë tjetër, prandaj nuk thotë asgjë për ngarkesën pas tij. Një shumë kontrolli UDP mbi IPv6 mbulon një pseudo-kre plus kreun dhe ngarkesën UDP, që do të thotë se arrin në paketën e mbajtur kur datagrami tunelohet. TCP ka shumën e vet të kontrollit me një varësi të ngjashme nga pseudo-kreu. Këto janë tre shtrirje të ndryshme ndonëse të tria quhen shuma kontrolli.

RFC 791 përcakton kontrollin e kreut IPv4 dhe rillogaritjen e tij në çdo hop, dhe RFC 8200 përcakton trajtimin e shtresës së sipërme mbi IPv6 duke përfshirë pseudo-kreun. Asnjë dokument nuk thotë se një paketë VPN ka një numër fiks shumash kontrolli, sepse asnjëri nuk përshkruan një tunel.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Kontrolloni mbrojtjen e integritetit veçmas

Integriteti ESP është mbrojtje kriptografike me mbulimin e vet dhe një paraqitje që varet nga algoritmi. Nuk është një shumë kontrolli IP ose UDP nën një emër tjetër, dhe gjatësia e tij ndryshon sipas konstruksionit të zgjedhur. Një kontroll integriteti mbulon një pjesë të përcaktuar të paketës, e cila sipas mënyrës mund të përfshijë kreun ESP dhe një pjesë të ngarkesës. Numërimi i tij si fushë shume kontrolli me gjerësi të njohur është vendi ku shumica e këtyre shpjegimeve shpërbëhen.

Lexoni konstruksionin e zgjedhur përpara se të numëroni bajt, dhe përshkruani rezultatin si mbrojtje integriteti dhe jo si shumë kontrolli me etiketë tjetër. Dekoduesi do t'ju emërojë fushën nëse e pyesni.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Kontrolloni pikën e vëzhgimit përpara se të numëroni

Një kapje në ndërfaqen e brendshme dhe një kapje në tel mund të tregojnë shtresa krejtësisht të ndryshme. Në ndërfaqen e brendshme tuneli është hequr tashmë, kështu që shihni paketën e mbajtur dhe asnjë nga krerët e jashtëm. Në tel shihni krerët e jashtëm dhe një ngarkesë të kriptuar që nuk mund ta lexoni. Asnjë pamje nuk është e gabuar, dhe ato nuk janë pamje të të njëjtit objekt. Tregoni ku është marrë kapja përpara se të citoni çdo numër.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Komanda e parë tregon paketën e jashtme me rimorkion e saj të integritetit, dhe e dyta tregon paketën e mbajtur me shumën e vet të kontrollit të transportit. Mbledhja e numrave nga të dyja kapjet nuk numëron asgjë dy herë, por shpjegon të njëjtën paketë dy herë.

Krahasoni numrin me një kapje reale

Dekodoni një paketë plotësisht dhe shënoni çdo fushë që dekoduesi e quan shumë kontrolli ose vlerë integriteti. Pastaj krahasoni çdo shenjë me strukturën që shkruat, dhe fshini ato që i përkasin një shtrese që nuk po numëroni vërtet. Një numër që i mbijeton atij ushtrimi është i mbrojtshëm, dhe një numër i cituar nga kujtesa nuk është.

Përsëriteni për drejtimin e përgjigjes, sepse një tunel që mban të dyja familjet mund të ndryshojë sipas drejtimit dhe sipas rrjedhës. Pastaj thoni numrin bashkë me shtrirjen e tij, për shembull tre shuma kontrolli për këtë paketë të brendshme në këtë pikë vëzhgimi, dhe jo si veti e paketave VPN në përgjithësi.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum