ESP исправно дешифрује, а унутрашњи пакет ипак никуда не стиже

Бројач пријема ESP расте, тунел остаје подигнут, а апликација никада не види пакет. Дешифровање је прошло, провера целовитости је успела, а затим је прималац морао да одлучи шта је заштићени корисни терет заправо. Управо се у том последњем кораку појављује несагласност формата, а споља то нимало не личи на проблем са заштитним зидом.

Шта видите када ознака лаже

Ништа у дневнику клијента не разликује ово од црне рупе у усмеравању. Оба дају истек времена апликације поред здравог тунела, зато се прво окривљују бројачи.

Растући бројач пријема заиста је добра вест: пакети пристижу и проверавају се. То није доказ да је унутрашњи пакет имао смисла за било шта изнад криптографског слоја.

Тип станује у трејлеру

У уобичајеном тунелском режиму IPsec, корисни терет заштићен протоколом ESP садржи целовит унутрашњи IP пакет. Поље следећег заглавља у трејлеру одређује шта је тај терет, и то није TCP порт, није број протокола у спољашњем заглављу и није део почетног поља SPI и редног броја. RFC 4303 одељак 2.6 га дефинише као поље врсте терета, што је прецизан назив за прецизан посао.

Вредности на које ћете наићи мале су и вреди их запамтити: IPv4 је 4 (0x04), а IPv6 је 41 (0x29).

Ти бројеви долазе из додела бројева протокола IANA, а не из локалне конвенције. Пошиљалац који изјављује IPv4, а притом умотава IPv6 пакет, створио је несагласност формата, и ниједно правило заштитног зида не поправља бајтове који противрече сопственој ознаци.

Како га разликовати од уобичајених осумњичених

Већина пакета који недостају нису грешке кодирања. Прво проверите селекторе, јер селектор саобраћаја који искључује префикс IPv6 одбацује саобраћај пре него што се било шта инкапсулира. Затим проверите усмеравање, па локално филтрирање на пријемном рачунару. Тек након што се то искључи, несагласност формата терета постаје вероватно објашњење.

Шифровани снимак то неће решити, јер заштићено следеће заглавље налази се унутар шифрованог терета. Потребна вам је дијагностика имплементације или подржана дешифрована тачка посматрања, а обоје захтева овлашћење пре употребе.

Ако нико не може да пружи тај доказ, немате грешку формата. Имате теорију, а селектори остају боља опклада.

Шта поправка није

Не искључујте провере целовитости да би саобраћај прошао. Не преписујте шифроване пакете на посредном рутеру, јер то не може да ради и поквариће ток, а притом на снимку изгледа корисно. Не отварајте шире правило заштитног зида за апликацију на основу теорије да је порт блокиран. Ништа од тога не дотиче несагласност ознаке.

Ако потврђена несагласност долази из партнерске имплементације, сачувајте најмању очишћену репродукцију и однесите је у подржани канал те имплементације.

Проверите ток, а не бројач

Након исправке тестирајте стварни ток IPv6 од почетка до краја: захтев апликације кроз тунел, његов одговор и пар адреса који свака страна види. Растући бројач ESP доказује само да се пакети примају и проверавају. Не говори ништа о томе да ли је унутрашњи пакет био употребљив.

Запишите оба резултата у тикет. Кретање бројача уз ток који ради јесте поправка; само кретање бројача тачно је оно што сте имали пре почетка.