ESP anlände men inget dekrypterades? Följ de inkommande stegen

När en brandväggs krypteringstäljare stiger medan tunneln inte levererar något, är instinkten att bredda en åtkomstregel. Den instinkten hoppar över mottagarens egen följd av kontroller. Ett inkommande ESP-paket passerar flera steg, och varje steg kan avsluta paketets liv av en annan anledning: ingen matchande association, ett fel i uppspelning eller integritet, eller ett inre paket som är i ordning men inte tillåts vidare. Att namnge steget som misslyckades gör ett vagt påstående om att IPsec är trasigt till en bestämd räknare och en bestämd rättelse.

Ankomst är en observation, inte tre

En extern inspelning som visar att ESP når gatewayen bevisar bara att det yttre paketet anlände. Accept innebär att mottagaren hittade associationen och validerade paketet. Leverans innebär att det återställda inre paketet routades till sin destination och besvarades. Det är separata resultat, och en instrumentpanel som slår ihop dem döljer just den information du behöver.

Samma skillnad förklarar en vanlig rapport: krypteringstäljaren hos ena sidan stiger medan den andra inte rapporterar någon användbar dekrypterad trafik. Båda påståendena kan vara sanna samtidigt, eftersom de beskriver olika steg i samma försök.

Uppslagningen av associationen sker före dekrypteringen

Mottagaren sätter ihop fragment vid behov och hittar sedan säkerhetsassociationen för paketet. Vid vanlig unicast väljer SPI och destinationen den. Utan en giltig association sker ingen vidare bearbetning, därför ger en inaktuell eller felaktig SPI tystnad i stället för ett fel som applikationen ser.

Associationer är riktade och kan ändras vid en nyckeluppdatering, så notera den mottagande sidan, SPI och tidsstämpeln bredvid den inkommande association du anser är aktuell. En visad utgående association, eller en frisk IKE-relation, ersätter inte den som borde ta emot det här paketet.

Kontroller av uppspelning och integritet avvisar innan det finns en nyttolast

När en association har hittats tillämpar mottagaren de algoritmer som den anger. Om skydd mot uppspelning är påslaget avvisas ett sekvensnummer utanför fönstret. Ett fel i integritetskontrollen avslutar också bearbetningen, eftersom ICV inte stämmer med paketet sådant det togs emot. Inget av fallen skapar ett dekrypterat inre paket, så inget når routning, policy eller applikationen.

Använd implementationens dokumenterade fel och räknare för dessa tillstånd i stället för att behandla varje mottagningsfel som en avvisning från åtkomstlistan. Att stänga av integritet eller skydd mot uppspelning för att få trafik att synas bevisar inte att det inkommande paketet var legitimt; det tar bort kontrollen som sade sanningen.

UDP-port 4500 är en behållare, inte en dom

NAT-traversering bär ESP inuti UDP, och samma port bär också IKE- och keepalive-meddelanden. Aktivitet på 4500 säger därför att något använder porten, inte att applikationen har skapat ett ESP-paket. Klassificera nyttolasten innan du tillskriver den datatrafik.

Det spelar roll när inspelningen är det enda beviset. En keepalive som anländer i tid kan få en död tunnel att se levande ut, och ett IKE-meddelande kan få en inspelning att se mer upptagen ut än datavägen egentligen är.

Först efter extraktionen gäller routning och policy

När dekrypteringen lyckas går det återställda inre paketet in på den normala vägen: policykontroller, routning, vidarebefordringsregler och destinationsvärden. Ett paket kan passera alla säkerhetskontroller och ändå släppas här, och returvägen måste också finnas. Det felet hör till vidarebefordran, inte till ESP.

Håll räknare bundna till sitt dokumenterade steg. Mottagning på gränssnittet, accepterad ESP, dekrypterade byte och vidarebefordrade inre paket behöver inte vara samma tal, särskilt när en accelererad väg hanterar dataplanet och kontrollplanet rapporterar separat. En allmän instrumentpanelsetikett är inte bevis för att två räknare betyder samma sak.

För en ny godkänd åtgärd, behåll den senast bekräftade gränsen och det första relevanta felet. Det paret berättar för nästa administratör vad som ska undersökas: transportleverans, association och integritet eller vanlig inre vidarebefordran, och det undviker den vanliga rättelsen att göra varje regel tillåtande för att flytta ett tal.