ESP geldi ama hiçbir şey çözülmedi mi? Gelen aşamaları izleyin

Bir güvenlik duvarının şifreleme sayacı yükselirken tünel hiçbir şey teslim etmiyorsa, içgüdü bir erişim kuralını genişletmektir. Bu içgüdü, alıcının kendi denetim sırasını atlar. Gelen ESP paketi birkaç aşamadan geçer ve her aşama paketin yaşamını farklı bir nedenle sonlandırabilir: eşleşen ilişkilendirme yok, yeniden oynatma veya bütünlük hatası, ya da iç paket sağlam ama ileriye izin verilmiyor. Başarısız aşamayı adlandırmak, IPsec bozuk ifadesini belirli bir sayaca ve belirli bir düzeltmeye dönüştürür.

Varış tek bir gözlemdir, üç değil

ESP uç geçidine ulaştığını gösteren dış kayıt yalnızca dış paketin geldiğini kanıtlar. Kabul, alıcının ilişkilendirmeyi bulduğu ve paketi doğruladığı anlamına gelir. Teslim, geri kazanılan iç paketin hedefine yönlendirildiği ve yanıt aldığı anlamına gelir. Bunlar ayrı sonuçlardır ve onları birleştiren bir gösterge paneli tam olarak ihtiyaç duyduğunuz bilgiyi saklar.

Aynı ayrım yaygın bir raporu açıklar: bir tarafın şifreleme sayacı yükselirken diğer taraf yararlı hiçbir çözülmüş trafik bildirmiyor. Her iki ifade aynı anda doğru olabilir, çünkü aynı denemenin farklı aşamalarını anlatırlar.

İlişkilendirme araması çözmeden önce yapılır

Alıcı gerekirse parçaları yeniden birleştirir, ardından paketin güvenlik ilişkilendirmesini bulur. Sıradan unicast'ta SPI ve hedef onu seçer. Geçerli ilişkilendirme yoksa daha ileri işleme olmaz, bu yüzden eski veya uyuşmayan SPI uygulamanın görebileceği bir hata yerine sessizlik üretir.

İlişkilendirmeler yönlüdür ve anahtar yenileme sırasında değişebilir, bu yüzden güncel saydığınız gelen ilişkilendirmenin yanına alıcı tarafı, SPI değerini ve zaman damgasını yazın. Gösterilen bir giden ilişkilendirme veya sağlıklı bir IKE ilişkisi, bu paketi alması gereken ilişkilendirmenin yerini tutmaz.

Yeniden oynatma ve bütünlük denetimleri yük oluşmadan reddeder

İlişkilendirme bulunduğunda alıcı, onun belirlediği algoritmaları uygular. Yeniden oynatma koruması açıksa pencere dışındaki sıra numarası reddedilir. Bütünlük denetimi hatası da işlemeyi bitirir, çünkü ICV alınan paketle eşleşmez. Hiçbir durum çözülmüş bir iç paket üretmez, bu yüzden hiçbir şey yönlendirmeye, politikaya veya uygulamaya ulaşmaz.

Bu durumlar için uygulamanın belgelenmiş hatalarını ve sayaçlarını kullanın, her alım hatasını erişim listesi reddi olarak görmek yerine. Trafiğin görünmesi için bütünlüğü veya yeniden oynatma korumasını kapatmak, gelen paketin meşru olduğunu kanıtlamaz; doğruyu söyleyen denetimi kaldırır.

UDP bağlantı noktası 4500 bir kaptır, hüküm değil

NAT geçişi ESP'yi UDP içinde taşır ve aynı bağlantı noktası IKE ile keepalive mesajlarını da taşır. Bu nedenle 4500 üzerindeki etkinlik bir şeyin bağlantı noktasını kullandığını söyler, uygulamanın ESP paketi ürettiğini değil. Yükü veri trafiğine atfetmeden önce sınıflandırın.

Kayıt tek kanıt olduğunda bu önemlidir. Zamanında gelen bir keepalive mesajı ölü bir tüneli canlı gösterebilir ve bir IKE mesajı kaydı veri yolunun gerçekte olduğundan daha yoğun gösterebilir.

Yönlendirme ve politika ancak çıkarma işleminden sonra uygulanır

Çözme başarılı olduğunda geri kazanılan iç paket normal yola girer: politika denetimleri, yönlendirme, iletme kuralları ve hedef ana bilgisayar. Bir paket tüm güvenlik denetimlerini geçip yine de burada düşürülebilir ve yanıt yolunun da var olması gerekir. Bu başarısızlık iletmeye aittir, ESP'ye değil.

Sayaçları belgelenmiş aşamalarına bağlı tutun. Arayüzde alım, kabul edilen ESP, çözülen baytlar ve iletilen iç paketler aynı sayı olmak zorunda değildir, özellikle hızlandırılmış bir yol veri düzlemini yönetip denetim düzlemi ayrı raporladığında. Genel bir gösterge paneli etiketi iki sayacın aynı şeyi ifade ettiğinin kanıtı değildir.

Tek bir yeni yetkili işlem için son doğrulanmış sınırı ve ilk ilgili hatayı saklayın. Bu çift, sonraki yöneticiye neyi araştıracağını söyler: taşıma teslimi, ilişkilendirme ve bütünlük ya da olağan iç iletme, ve bir sayıyı hareket ettirmek için her kuralı izin verici yapma alışkanlığından kaçınır.