ESP sorunsuz çözüyor ama iç paket yine de hiçbir yere ulaşmıyor

ESP alma sayacı artıyor, tünel ayakta kalıyor ve uygulama paketi hiç görmüyor. Şifre çözme çalıştı, bütünlük doğrulaması geçti ve sonra alıcı korunan yükün gerçekte ne olduğuna karar vermek zorunda kaldı. Biçim uyuşmazlığı tam da bu son adımda ortaya çıkar ve dışarıdan bakınca hiç de güvenlik duvarı sorununa benzemez.

Etiket yalan söylediğinde ne görürsünüz

İstemci günlüğünde hiçbir şey bunu yönlendirme kara deliğinden ayırmaz. İkisi de sağlıklı bir tünelin yanında uygulama zaman aşımı üretir, bu yüzden ilk önce sayaçlar suçlanır.

Artan alma sayacı gerçekten iyi haberdir: paketler geliyor ve kimlik doğrulamasından geçiyor. Ancak bu, iç paketin kripto katmanının üstündeki bir şey için anlamlı olduğunun kanıtı değildir.

Tür trailer'da yaşar

Olağan IPsec tünel modunda ESP ile korunan yük, eksiksiz bir iç IP paketi içerir. Trailer'daki sonraki başlık alanı bu yükün ne olduğunu belirtir ve bu bir TCP bağlantı noktası değil, dış başlıktaki protokol numarası değil ve başlangıçtaki SPI ile sıra numarası alanının parçası değildir. RFC 4303 bölüm 2.6 bunu yük türü alanı olarak tanımlar, ki bu kesin bir iş için kesin bir addır.

Karşılaşacağınız değerler küçüktür ve hatırlamaya değer: IPv4 4 (0x04), IPv6 ise 41 (0x29).

Bu sayılar yerel gelenekten değil, IANA protokol numarası atamalarından gelir. IPv4 bildirip IPv6 paketi sararken gönderen biçim tutarsızlığı yaratmıştır ve hiçbir güvenlik duvarı kuralı kendi etiketine aykırı baytları onarmaz.

Bunu olağan şüphelilerden nasıl ayırırsınız

Kaybolan paketlerin çoğu kodlama kusuru değildir. Önce seçicileri denetleyin, çünkü IPv6 önekini dışlayan bir trafik seçici, herhangi bir şey kapsüllenmeden önce trafiği düşürür. Ardından yönlendirmeyi, sonra alıcı ana bilgisayardaki yerel filtrelemeyi denetleyin. Ancak bunlar dışlandıktan sonra yük biçimi uyuşmazlığı makul bir açıklama hâline gelir.

Şifrelenmiş bir yakalama bunu çözmez, çünkü korunan sonraki başlık şifrelenmiş yükün içindedir. Uygulama tanılamasına ya da desteklenen şifresi çözülmüş bir gözlem noktasına ihtiyacınız var ve ikisi de kullanımdan önce yetkilendirme gerektirir.

Kimse bu kanıtı sunamıyorsa biçim hatanız yok. Bir teoriniz var ve seçiciler hâlâ daha iyi bahis.

Onarım ne değildir

Trafik geçsin diye bütünlük denetimlerini kapatmayın. Şifrelenmiş paketleri ara bir yönlendiricide yeniden yazmayın, çünkü bu çalışamaz ve yakalamada yararlı görünürken akışı bozar. Bağlantı noktasının engellendiği teorisiyle uygulama için daha geniş bir güvenlik duvarı kuralı açmayın. Bunların hiçbiri etiket uyuşmazlığına dokunmaz.

Doğrulanmış bir uyuşmazlık eş düğüm uygulamasından geliyorsa, en küçük temizlenmiş yeniden üretimi saklayın ve o uygulamanın desteklenen kanalına götürün.

Akışı doğrulayın, sayacı değil

Düzeltmeden sonra gerçek IPv6 akışını uçtan uca sınayın: tünelden geçen bir uygulama isteği, yanıtı ve her iki tarafın gözlediği adres çifti. Artan ESP sayacı yalnızca paketlerin alındığını ve kimlik doğrulamasından geçtiğini kanıtlar. İç paketin kullanılabilir olup olmadığı hakkında hiçbir şey söylemez.

İki sonucu da kayda geçirin. Sayaç hareketi ve çalışan bir akış onarımdır; tek başına sayaç hareketi tam olarak başlamadan önce ne varsa odur.