Dumating ang ESP pero walang na-decrypt? Sundin ang mga yugto ng papasok

Kapag tumataas ang counter ng encryption ng firewall habang walang inihahatid ang tunnel, ang instinct ay palawakin ang tuntunin sa pag-access. Nilalaktawan ng instinct na iyon ang sariling pagkakasunod-sunod ng mga pagsusuri ng tatanggap. Ang papasok na ESP packet ay dumadaan sa ilang yugto, at bawat isa ay maaaring tapusin ang buhay ng packet sa ibang dahilan: walang tumutugmang asosasyon, pagkabigo sa replay o integridad, o ang panloob na packet ay maayos ngunit hindi pinapayagang tumuloy. Ang pagpangalan sa yugtong nabigo ay ginagawang tiyak na counter at tiyak na pagwawasto ang malabong pahayag na sira ang IPsec.

Ang pagdating ay isang obserbasyon, hindi tatlo

Ang panlabas na capture na nagpapakita na umaabot ang ESP sa gateway ay nagpapatunay lamang na dumating ang panlabas na packet. Ang pagtanggap ay nangangahulugang natagpuan ng tatanggap ang asosasyon at nabalido ang packet. Ang paghahatid ay nangangahulugang ang naibalik na panloob na packet ay na-route sa destinasyon nito at nasagot. Magkakaibang resulta ang mga ito, at ang dashboard na pinagsasama ang mga ito ay nagtatago ng eksaktong impormasyong kailangan mo.

Ang parehong pagkakaiba ay nagpapaliwanag ng karaniwang ulat: tumataas ang counter ng encryption ng isang panig habang ang kabila ay hindi nag-uulat ng anumang kapaki-pakinabang na na-decrypt na trapiko. Ang dalawang pahayag ay maaaring totoo nang sabay, dahil inilalarawan nila ang magkakaibang yugto ng parehong pagtatangka.

Ang paghahanap ng asosasyon ay nangyayari bago ang decryption

Pinagsasama-sama ng tatanggap ang mga fragment kung kailangan, pagkatapos ay hinahanap ang seguridad na asosasyon ng packet. Sa ordinaryong unicast, SPI at destinasyon ang pumipili nito. Kung walang wastong asosasyon ay walang karagdagang pagproseso, kaya ang lumang o hindi tumutugmang SPI ay gumagawa ng katahimikan sa halip na error na nakikita ng application.

Ang mga asosasyon ay may direksyon at maaaring magbago sa panahon ng pag-renew ng key, kaya itala ang panig na tumatanggap, ang SPI at ang timestamp sa tabi ng papasok na asosasyon na inaakala mong kasalukuyan. Ang ipinakitang palabas na asosasyon, o isang malusog na relasyong IKE, ay hindi kapalit ng dapat tumanggap ng packet na ito.

Ang mga pagsusuri sa replay at integridad ay tumatanggi bago pa man magkaroon ng payload

Kapag natagpuan ang asosasyon, inilalapat ng tatanggap ang mga algorithm na tinukoy nito. Kung aktibo ang proteksyon laban sa replay, tinatanggihan ang sequence number sa labas ng window. Ang pagkabigo ng pagsusuri sa integridad ay nagtatapos din sa pagproseso, dahil hindi tumutugma ang ICV sa packet gaya ng natanggap. Walang kaso ang gumagawa ng na-decrypt na panloob na packet, kaya walang umaabot sa routing, patakaran o application.

Para sa mga estadong ito gamitin ang mga dokumentadong error at counter ng implementasyon, sa halip na ituring ang bawat pagkabigo sa pagtanggap bilang pagtanggi ng listahan ng access. Ang pag-off sa integridad o proteksyon laban sa replay upang lumitaw ang trapiko ay hindi nagpapatunay na lehitimo ang papasok na packet; inaalis nito ang pagsusuring nagsasabi ng totoo.

Ang UDP port 4500 ay sisidlan, hindi hatol

Ang pagdaan sa NAT ay nagdadala ng ESP sa loob ng UDP, at ang parehong port ay nagdadala rin ng mga mensahe ng IKE at keepalive. Kaya ang aktibidad sa 4500 ay nagsasabi na may gumagamit ng port, hindi na gumawa ang application ng ESP packet. Uriin ang payload bago ito iugnay sa trapiko ng data.

Mahalaga ito kapag ang capture ay ang tanging ebidensyang makukuha. Ang keepalive na dumarating sa oras ay maaaring magpamukhang buhay ang isang patay na tunnel, at ang mensahe ng IKE ay maaaring magpamukhang abala ang capture kaysa sa tunay na landas ng data.

Pagkatapos lamang ng pagkuha nailalapat ang routing at patakaran

Kapag nagtagumpay ang decryption, pumapasok ang naibalik na panloob na packet sa normal na landas: mga pagsusuri sa patakaran, routing, mga tuntunin sa pagpapasa at ang destinasyong host. Ang isang packet ay maaaring makapasa sa lahat ng pagsusuri sa seguridad at mapatapon pa rin dito, at ang landas ng sagot ay dapat ding umiral. Ang pagkabigong iyon ay sa pagpapasa, hindi sa ESP.

Panatilihing nakatali ang mga counter sa kanilang dokumentadong yugto. Ang pagtanggap sa interface, tinanggap na ESP, na-decrypt na byte at ipinasang panloob na packet ay hindi kailangang magkaparehong numero, lalo na kapag ang pinabilis na landas ang humahawak sa data plane at hiwalay na nag-uulat ang control plane. Ang pangkalahatang label ng dashboard ay hindi patunay na ang dalawang counter ay may parehong kahulugan.

Para sa isang bagong awtorisadong operasyon, itago ang huling kumpirmadong hangganan at ang unang kaugnay na error. Sinasabi ng pares na iyon sa susunod na administrador kung ano ang iimbestigahan: paghahatid ng transport, asosasyon at integridad, o ordinaryong panloob na pagpapasa, at iniiwasan nito ang karaniwang pagwawasto na gawing permissive ang bawat tuntunin upang gumalaw ang isang numero.