IPsec ESP: çfarë transporton dhe si të provohet se po rrjedh

ESP transporton trafikun në një VPN IPsec, dhe runbook-u i tij fillon me një rregull: lexoni shoqërimin e sigurisë përpara se të ndryshoni një politikë. Shumica e sjelljes së pashpjeguar të ESP kthehet te një përzgjedhës që nuk përputhej, te një modalitet që u supozua në vend që u lexua, ose te një numërues që askush nuk e kontrolloi derisa po dërgohej një fluks i vetëm. Tre hapat më poshtë përcaktojnë çfarë transporton çfarë, provojnë se një fluks e përdor atë dhe lënë një kthim prapa që nuk varet nga kujtesa. Çdo hap jep një vëzhgim që ia vlen të shënohet.

Njihni fushat përpara se t'i lexoni

ESP vendos një krye përpara të dhënave të mbrojtura dhe një bisht pas tyre. Kryet mban një indeks të parametrave të sigurisë që identifikon cilin shoqërim duhet të përdorë marrësi, një numër radhe për zbulimin e përsëritjeve dhe, në bisht, mbushje që e mban ngarkesën të rreshtuar për shifrën. Fusha e kryes tjetër në bisht tregon çfarë është përmbajtja e mbrojtur, dhe kështu marrësi e di çfarë dekapsuloi.

Modaliteti ndryshon çfarë ndodhet brenda asaj mbrojtjeje. Në modalitetin tunel materiali i mbrojtur është një paketë IP e brendshme e plotë, dhe një krye e re e jashtme e transporton atë midis skajeve. Në modalitetin transport mbrojtja mbështjell ngarkesën e shtresës së sipërme të një pakete ekzistuese, prandaj nuk ka një krye të dytë IP për të hapur. Cili modalitet përdoret është fakt konfigurimi, jo çështje interpretimi. Lexojeni nga zëri i gjendjes në vend që ta nxirrni nga një diagram.

Asnjëri prej modaliteteve nuk fsheh adresimin e jashtëm që duhet ta dorëzojë paketën. Kjo është veti e projektimit dhe jo mangësi, dhe për këtë arsye një vëzhgues i ndërmjetëm ende mund të shohë cilat dy adresa po bisedojnë, edhe kur ngarkesa është e errët.

Hapi i parë: lexoni gjendjen, pastaj politikën

Zërat e gjendjes mbajnë çelësat dhe numëruesit; zërat e politikës mbajnë përzgjedhësit që vendosin çfarë mund t'i përdorë. Në Linux të dyja janë të dukshme pa kapur paketa, dhe leximi i tyre në atë rend i mban dy pyetjet të ndara.

ip xfrm state
ip xfrm policy

Në daljen e gjendjes, kontrolloni burimin dhe destinacionin e shoqërimit, modalitetin dhe nëse kapsulimi tregon porta UDP. Ato porta nënkuptojnë se po përdoret kalimi përmes NAT, gjë që ndryshon çfarë duhet të lejojë një firewall i ndërmjetëm, por jo cilët përzgjedhës ose çelësa zbatohen në skaje.

Pastaj lexoni përzgjedhësit në politikë. Një përzgjedhës që emërton një prefiks më të ngushtë se trafiku që po provoni është arsyeja më e zakonshme pse një tunel që funksionon duket se e shpërfill një fluks, dhe një përzgjedhës për protokollin e gabuar jep të njëjtin heshtje.

Mjetet e prodhuesve shtypin të njëjtin informacion në një formë më të rehatshme. ipsec statusall në strongSwan ai liston shoqërimet fëmijë, përzgjedhësit e tyre dhe numëruesit e bajteve të tyre, gjë që shpesh është më e shpejtë sesa leximi i daljes së papërpunuar xfrm kur ju tashmë e dini se cilin fëmijë të shikoni.

Hapi i dytë: provoni se një fluks lëviz numëruesit

Numëruesit kanë kuptim vetëm nëse e dini se çfarë duhej t'i lëvizte, prandaj zgjidhni një burim dhe një destinacion që përzgjedhësi i mbulon me siguri dhe dërgoni një kërkesë të padëmshme. Pastaj rilexoni të njëjtin zë dhe krahasoni.

ip -s xfrm state
tcpdump -ni any esp

Dy lexime tregojnë histori të ndryshme. Paketat që rriten në anën dalëse por kurrë në atë hyrëse tregojnë një problem përcjelljeje ose rruge kthimi, jo çelësi, sepse paketa u kapsulua dhe iku. Nëse asnjë numërues nuk lëviz, trafiku nuk u përputh kurrë me politikën, dhe përzgjedhësi është vendi ku duhet të shikoni.

Kapja në të njëjtin hap konfirmon kapsulimin në tel, duke përfshirë nëse paketat e jashtme janë ESP apo ESP i kapsuluar në UDP. Ai ju tregon gjithashtu adresat që vërtet e transportuan fluksin, dhe ato ndonjëherë ndryshojnë nga ato në konfigurimin që po lexonit.

Hapi i tretë: ndryshoni një gjë dhe mbani një kthim prapa

Shënoni burimin, destinacionin, modalitetin, përzgjedhësit dhe numëruesit e shoqërimit përpara se të redaktoni diçka. Nëse një ndryshim i përkeqëson gjërat, pikërisht ai shënim ju lejon të riktheni gjendjen e mëparshme në vend që të rindërtoni një konfigurim funksional nga një supozim. Shënimi zgjat një minutë dhe kursen një orë më vonë. Është gjithashtu i vetmi artefakt që mbijeton personin që bëri ndryshimin.

Ndryshoni një përzgjedhës ose një parametër, ringarkojeni dhe përsëritni hapin e dytë mbi të njëjtin fluks. Fshirja e një shoqërimi rrëzon çdo fluks që e përdor, prandaj një redaktim i synuar dhe një ringarkim i fëmijës janë pothuajse gjithmonë më të mirë sesa zbrazja e gjendjes për të parë çfarë ndodh.

Kthimi prapa për një redaktim përzgjedhësi është rikthimi i politikës së mëparshme dhe ringarkimi i saj, me kushtin që pala tjetër mund të ketë nevojë për një ndryshim përkatës nëse përzgjedhësi negociohet dhe nuk është lokal. Shënoni atë varësi ndërsa është e freskët, sepse një çift i rikthyer gjysmë është më i vështirë për t'u menduar sesa cilado nga dy gjendjet përfundimtare.

Së fundi, mbani fushën me ndershmëri. Një shoqërim ESP që rrjedh provon se dy portat mbrojnë dhe dorëzojnë segmentin, dhe nuk thotë asgjë nëse aplikacioni sipër vërteton përdoruesit e tij ose kripton atë që ruan. Ato janë kontrolle të veçanta me prova të veçanta, dhe runbook-u përfundon vetëm kur personi tjetër mund ta përsëritë nga shënimet.