ESP มาถึงแต่ไม่มีอะไรถูกถอดรหัส? ติดตามขั้นตอนขาเข้า

เมื่อตัวนับการเข้ารหัสของไฟร์วอลล์เพิ่มขึ้นในขณะที่อุโมงค์ไม่ส่งอะไรเลย สัญชาตญาณคือการขยายกฎการเข้าถึง สัญชาตญาณนั้นข้ามลำดับการตรวจสอบของผู้รับเอง แพ็กเก็ต ESP ขาเข้าผ่านหลายขั้นตอน และแต่ละขั้นตอนสามารถยุติชีวิตของแพ็กเก็ตด้วยเหตุผลที่ต่างกัน: ไม่มีความสัมพันธ์ที่ตรงกัน ความล้มเหลวในการเล่นซ้ำหรือความสมบูรณ์ หรือแพ็กเก็ตภายในเรียบร้อยแต่ไม่ได้รับอนุญาตให้ผ่านต่อไป การระบุขั้นตอนที่ล้มเหลวเปลี่ยนข้อความคลุมเครือว่า IPsec เสียเป็นตัวนับเฉพาะและการแก้ไขเฉพาะ

การมาถึงเป็นการสังเกตครั้งเดียว ไม่ใช่สามครั้ง

การดักจับภายนอกที่แสดงว่า ESP ไปถึงเกตเวย์พิสูจน์เพียงว่าแพ็กเก็ตภายนอกมาถึง การยอมรับหมายความว่าผู้รับพบความสัมพันธ์และตรวจสอบแพ็กเก็ตแล้ว การส่งมอบหมายความว่าแพ็กเก็ตภายในที่กู้คืนถูกกำหนดเส้นทางไปยังปลายทางและได้รับการตอบกลับ สิ่งเหล่านี้เป็นผลลัพธ์แยกกัน และแดชบอร์ดที่รวมเข้าด้วยกันจะซ่อนข้อมูลที่คุณต้องการพอดี

ความแตกต่างเดียวกันนี้อธิบายรายงานทั่วไป: ตัวนับการเข้ารหัสของฝ่ายหนึ่งเพิ่มขึ้นในขณะที่อีกฝ่ายไม่รายงานทราฟฟิกที่ถอดรหัสแล้วซึ่งมีประโยชน์. ข้อความทั้งสองสามารถเป็นจริงได้ในเวลาเดียวกัน เพราะอธิบายขั้นตอนที่ต่างกันของการพยายามเดียวกัน

การค้นหาความสัมพันธ์เกิดขึ้นก่อนการถอดรหัส

ผู้รับประกอบชิ้นส่วนใหม่หากจำเป็น แล้วจึงค้นหาความสัมพันธ์ด้านความปลอดภัยของแพ็กเก็ต ในยูนิคาสต์ปกติ SPI และปลายทางเป็นตัวเลือก ไม่มีความสัมพันธ์ที่ถูกต้องหมายความว่าไม่มีการประมวลผลต่อไป ซึ่งเป็นเหตุผลที่ SPI ที่เก่าหรือไม่ตรงกันสร้างความเงียบแทนข้อผิดพลาดที่แอปพลิเคชันมองเห็น

ความสัมพันธ์มีทิศทางและสามารถเปลี่ยนแปลงได้ระหว่างการต่ออายุคีย์ ดังนั้นบันทึกฝ่ายที่รับ SPI และการประทับเวลาไว้ข้างความสัมพันธ์ขาเข้าที่คุณคิดว่าเป็นปัจจุบัน ความสัมพันธ์ขาออกที่แสดงหรือความสัมพันธ์ IKE ที่แข็งแรงไม่ใช่สิ่งทดแทนสำหรับความสัมพันธ์ที่ควรได้รับแพ็กเก็ตนี้

การตรวจสอบการเล่นซ้ำและความสมบูรณ์จะปฏิเสธก่อนที่จะมีเพย์โหลด

เมื่อพบความสัมพันธ์แล้ว ผู้รับจะใช้อัลกอริทึมที่ความสัมพันธ์นั้นระบุ หากเปิดใช้งานการป้องกันการเล่นซ้ำ หมายเลขลำดับที่อยู่นอกหน้าต่างจะถูกปฏิเสธ ความล้มเหลวของการตรวจสอบความสมบูรณ์ก็สิ้นสุดการประมวลผลเช่นกัน เพราะ ICV ไม่ตรงกับแพ็กเก็ตตามที่ได้รับ ทั้งสองกรณีไม่สร้างแพ็กเก็ตภายในที่ถอดรหัสแล้ว ดังนั้นจึงไม่มีอะไรไปถึงการกำหนดเส้นทาง นโยบาย หรือแอปพลิเคชัน

สำหรับสถานะเหล่านี้ให้ใช้ข้อผิดพลาดและตัวนับที่จัดทำเอกสารของการนำไปใช้ แทนการถือว่าทุกความล้มเหลวในการรับเป็นการปฏิเสธของรายการเข้าถึง การปิดความสมบูรณ์หรือการป้องกันการเล่นซ้ำเพื่อให้ทราฟฟิกปรากฏไม่ได้พิสูจน์ว่าแพ็กเก็ตที่เข้ามานั้นชอบด้วยกฎหมาย มันเป็นการลบการตรวจสอบที่บอกความจริง

พอร์ต UDP 4500 เป็นภาชนะ ไม่ใช่คำตัดสิน

การข้าม NAT พา ESP ไว้ใน UDP และพอร์ตเดียวกันยังพาข้อความ IKE และการคงการเชื่อมต่อด้วย ดังนั้นกิจกรรมบน 4500 บอกว่ามีบางอย่างใช้พอร์ต ไม่ได้บอกว่าแอปพลิเคชันสร้างแพ็กเก็ต ESP จัดประเภทเพย์โหลดก่อนที่จะถือว่าเป็นทราฟฟิกข้อมูล

สิ่งนี้สำคัญเมื่อการดักจับเป็นหลักฐานเดียวที่มี ข้อความคงการเชื่อมต่อที่มาถึงตรงเวลาสามารถทำให้อุโมงค์ที่ตายแล้วดูมีชีวิต และข้อความ IKE สามารถทำให้การดักจับดูยุ่งกว่าที่เส้นทางข้อมูลเป็นจริง

หลังการแยกออกมาแล้วเท่านั้นจึงใช้การกำหนดเส้นทางและนโยบาย

เมื่อการถอดรหัสสำเร็จ แพ็กเก็ตภายในที่กู้คืนจะเข้าสู่เส้นทางปกติ: การตรวจสอบนโยบาย การกำหนดเส้นทาง กฎการส่งต่อ และโฮสต์ปลายทาง แพ็กเก็ตสามารถผ่านการตรวจสอบความปลอดภัยทั้งหมดและยังคงถูกทิ้งที่นี่ และเส้นทางตอบกลับก็ต้องมีอยู่ด้วย ความล้มเหลวนั้นเป็นของการส่งต่อ ไม่ใช่ ESP

ผูกตัวนับไว้กับขั้นตอนที่จัดทำเอกสาร การรับที่อินเทอร์เฟซ ESP ที่ยอมรับ ไบต์ที่ถอดรหัส และแพ็กเก็ตภายในที่ส่งต่อไม่จำเป็นต้องเป็นตัวเลขเดียวกัน โดยเฉพาะเมื่อเส้นทางที่เร่งความเร็วจัดการระนาบข้อมูลและระนาบควบคุมรายงานแยกกัน ป้ายแดชบอร์ดทั่วไปไม่ใช่หลักฐานว่าตัวนับสองตัวหมายถึงสิ่งเดียวกัน

สำหรับการดำเนินการที่ได้รับอนุญาตใหม่หนึ่งครั้ง ให้เก็บขอบเขตที่ยืนยันล่าสุดและข้อผิดพลาดที่เกี่ยวข้องรายการแรก คู่นั้นบอกผู้ดูแลคนถัดไปว่าควรตรวจสอบอะไร: การส่งมอบการขนส่ง ความสัมพันธ์และความสมบูรณ์ หรือการส่งต่อภายในปกติ และหลีกเลี่ยงการแก้ไขตามปกติที่ทำให้ทุกกฎอนุญาตเพื่อเลื่อนตัวเลข