ESP је стигао, али ништа није дешифровано? Пратите улазне фазе

Када бројач шифровања на заштитном зиду расте, а тунел ништа не доставља, инстинкт је проширити правило приступа. Тај инстинкт прескаче сопствени редослед провера примаоца. Улазни ESP пакет пролази кроз неколико фаза и свака може да оконча живот пакета из другог разлога: нема одговарајуће асоцијације, неуспех понављања или интегритета, или је унутрашњи пакет у реду али није дозвољен даље. Именовање фазе која није успела претвара нејасну тврдњу да је IPsec покварен у конкретан бројач и конкретну поправку.

Долазак је једно запажање, не три

Спољни снимак који показује да ESP стиже до пролаза доказује само да је спољни пакет стигао. Прихватање значи да је прималац пронашао асоцијацију и потврдио пакет. Достава значи да је обновљени унутрашњи пакет усмерен до циља и да је добио одговор. То су одвојени резултати, а панел који их спаја крије управо ону информацију која вам је потребна.

Иста разлика објашњава чест извештај: бројач шифровања једне стране расте, док друга не извештава о корисном дешифрованом саобраћају. Обе тврдње могу бити тачне истовремено, јер описују различите фазе истог покушаја.

Тражење асоцијације се дешава пре дешифровања

Прималац по потреби поново саставља фрагменте, затим проналази безбедносну асоцијацију за пакет. Код обичног unicast-а бирају је SPI и одредиште. Без важеће асоцијације нема даље обраде, зато застарео или неодговарајући SPI даје тишину уместо грешке видљиве апликацији.

Асоцијације су усмерене и могу се променити током обнове кључева, зато запишите страну која прима, SPI и временску ознаку поред улазне асоцијације коју сматрате тренутном. Приказана излазна асоцијација или здрава IKE веза не замењује ону која треба да прими овај пакет.

Провере понављања и интегритета одбијају пре него што постоји терет

Када се асоцијација пронађе, прималац примењује алгоритме које она одређује. Ако је заштита од понављања укључена, редни број изван прозора се одбија. Неуспех провере интегритета такође завршава обраду, јер ICV не одговара пакету како је примљен. Ниједан случај не ствара дешифровани унутрашњи пакет, па ништа не стиже до усмеравања, политике или апликације.

За ова стања користите документоване грешке и бројаче имплементације, уместо да сваки неуспех пријема третирате као одбијање листе приступа. Искључивање интегритета или заштите од понављања да би се саобраћај појавио не доказује да је улазни пакет био легитиман; оно уклања проверу која је говорила истину.

UDP порт 4500 је контејнер, а не пресуда

Пролазак кроз NAT носи ESP унутар UDP, а исти порт носи и IKE и поруке за одржавање везе. Зато активност на 4500 говори да нешто користи порт, не да је апликација направила ESP пакет. Класификујте терет пре него што га припишете податочном саобраћају.

Ово је важно када је снимак једини доступни доказ. Порука за одржавање везе која стигне на време може учинити мртав тунел живим, а IKE порука може учинити снимак заузетијим него што пут података заиста јесте.

Тек после издвајања примењују се усмеравање и политика

Када дешифровање успе, обновљени унутрашњи пакет улази у уобичајену путању: провере политике, усмеравање, правила прослеђивања и одредишни домаћин. Пакет може проћи све безбедносне провере и ипак бити одбачен овде, а путања одговора такође мора постојати. Тај неуспех припада прослеђивању, не ESP-у.

Држите бројаче везане за њихову документовану фазу. Пријем на интерфејсу, прихваћени ESP, дешифровани бајтови и прослеђени унутрашњи пакети не морају бити исти број, поготово када убрзана путања води податачну раван, а контролна раван извештава одвојено. Општа ознака на панелу није доказ да два бројача значе исто.

За једну нову овлашћену операцију задржите последњу потврђену границу и прву релевантну грешку. Тај пар говори следећем администратору шта да истражи: доставу преко транспорта, асоцијацију и интегритет или обично унутрашње прослеђивање, и избегава уобичајену поправку да свако правило постане дозвољавајуће да би се број померио.