ESP imefika lakini hakuna kilichosimbuliwa? Fuata hatua za kuingia

Wakati kihesabu cha usimbaji fiche cha firewall kinapanda huku handaki kisilete chochote, silika ni kupanua sheria ya ufikiaji. Silika hiyo inaruka mfuatano wa ukaguzi wa mpokeaji mwenyewe. Pakiti ya ESP inayoingia hupitia hatua kadhaa, na kila hatua inaweza kumaliza maisha ya pakiti kwa sababu tofauti: hakuna ushirikiano unaolingana, hitilafu ya kurudia au ya uadilifu, au pakiti ya ndani iko sawa lakini hairuhusiwi kuendelea. Kutaja hatua iliyoshindwa hugeuza kauli isiyo wazi kwamba IPsec imeharibika kuwa kihesabu mahususi na marekebisho mahususi.

Kuwasili ni uchunguzi mmoja, si matatu

Nakala ya nje inayoonyesha ESP inafika kwenye lango inathibitisha tu kwamba pakiti ya nje imefika. Kukubali kunamaanisha mpokeaji alipata ushirikiano na kuthibitisha pakiti. Kuwasilisha kunamaanisha pakiti ya ndani iliyorejeshwa ilielekezwa mahali panapokwenda na ikajibiwa. Haya ni matokeo tofauti, na dashibodi inayoyachanganya inaficha taarifa unayohitaji.

Tofauti hiyo hiyo inaeleza ripoti ya kawaida: kihesabu cha usimbaji fiche cha upande mmoja kinapanda wakati upande mwingine hauripoti trafiki yoyote yenye manufaa iliyosimbuliwa. Kauli zote mbili zinaweza kuwa kweli kwa wakati mmoja, kwa sababu zinaelezea hatua tofauti za jaribio moja.

Utafutaji wa ushirikiano hufanyika kabla ya usimbuaji

Mpokeaji huunganisha vipande tena ikiwa inahitajika, kisha hupata ushirikiano wa usalama wa pakiti. Katika unicast ya kawaida, SPI na mahali panapokwenda huchagua. Bila ushirikiano halali hakuna usindikaji zaidi, ndiyo sababu SPI ya zamani au isiyolingana huzalisha ukimya badala ya hitilafu inayoonekana kwa programu.

Ushirikiano una mwelekeo na unaweza kubadilika wakati wa kuhuisha funguo, kwa hiyo andika upande unaopokea, SPI na alama ya muda kando ya ushirikiano wa kuingia unaodhani ni wa sasa. Ushirikiano wa kutoka unaoonyeshwa, au uhusiano mzuri wa IKE, hauchukui nafasi ya ule unaopaswa kupokea pakiti hii.

Ukaguzi wa kurudia na uadilifu hukataa kabla ya mzigo kuwepo

Ushirikiano unapopatikana, mpokeaji hutumia algoriti ambazo ushirikiano huo unabainisha. Ikiwa ulinzi dhidi ya kurudia umewashwa, nambari ya mfuatano nje ya dirisha inakataliwa. Kushindwa kwa ukaguzi wa uadilifu pia humaliza usindikaji, kwa sababu ICV hailingani na pakiti kama ilivyopokelewa. Hakuna kati ya matukio haya yanayozalisha pakiti ya ndani iliyosimbuliwa, kwa hiyo hakuna kinachofika kwenye uelekezaji, sera au programu.

Kwa hali hizi tumia hitilafu na vihesabu vilivyoandikwa vya utekelezaji, badala ya kuchukua kila kushindwa kwa upokeaji kama kukataa kwa orodha ya ufikiaji. Kuzima uadilifu au ulinzi dhidi ya kurudia ili trafiki ionekane hakuthibitishi kwamba pakiti iliyoingia ilikuwa halali; huondoa ukaguzi uliokuwa ukisema ukweli.

Bandari ya UDP 4500 ni chombo, si hukumu

Upitishaji wa NAT hubeba ESP ndani ya UDP, na bandari hiyo hiyo hubeba pia ujumbe wa IKE na wa kuendeleza muunganisho. Kwa hiyo shughuli kwenye 4500 inasema kwamba kitu kinatumia bandari, si kwamba programu ilizalisha pakiti ya ESP. Ainisha mzigo kabla ya kuuhusisha na trafiki ya data.

Hili ni muhimu wakati nakala ndiyo ushahidi pekee unaopatikana. Ujumbe wa kuendeleza muunganisho unaofika kwa wakati unaweza kufanya handaki lililokufa lionekane hai, na ujumbe wa IKE unaweza kufanya nakala ionekane na shughuli nyingi kuliko njia ya data ilivyo kweli.

Ni baada ya uchimbaji tu ndipo uelekezaji na sera vinatumika

Usimbuaji unapofanikiwa, pakiti ya ndani iliyorejeshwa inaingia kwenye njia ya kawaida: ukaguzi wa sera, uelekezaji, sheria za upelekwaji na mwenyeji lengwa. Pakiti inaweza kupita ukaguzi wote wa usalama na bado ikatupwa hapa, na njia ya jibu lazima iwepo pia. Kushindwa hiko ni kwa upelekwaji, si kwa ESP.

Weka vihesabu vimefungwa kwenye hatua yao iliyoandikwa. Upokeaji kwenye kiolesura, ESP iliyokubaliwa, baiti zilizosimbuliwa na pakiti za ndani zilizopelekwa hazipaswi kuwa nambari moja, hasa wakati njia ya kasi inashughulikia tabaka la data na tabaka la udhibiti likiripoti kando. Lebo ya jumla ya dashibodi si uthibitisho kwamba vihesabu viwili vinamaanisha kitu kimoja.

Kwa operesheni moja mpya iliyoidhinishwa, hifadhi mpaka wa mwisho uliothibitishwa na hitilafu ya kwanza inayohusika. Jozi hiyo humwambia msimamizi anayefuata nini cha kuchunguza: uwasilishaji wa usafirishaji, ushirikiano na uadilifu, au upelekwaji wa ndani wa kawaida, na inaepuka marekebisho ya kawaida ya kufanya kila sheria ikubali ili nambari isogee.