ESP прийшов, але нічого не розшифровано? Пройдіть етапи входу

Коли лічильник шифрування на міжмережевому екрані зростає, а тунель нічого не доставляє, інстинкт підказує розширити правило доступу. Цей інстинкт оминає власну послідовність перевірок отримувача. Вхідний пакет ESP проходить кілька етапів, і кожен може обірвати життя пакета зі своєї причини: немає відповідної асоціації, збій перевірки повторення або цілісності, або внутрішній пакет справний, але далі не дозволений. Назвати етап, на якому стався збій, означає перетворити розпливчасте твердження про поломку IPsec на конкретний лічильник і конкретне виправлення.

Прибуття це одне спостереження, а не три

Зовнішній запис, що показує, що ESP доходить до шлюзу, доводить лише те, що зовнішній пакет прибув. Приймання означає, що отримувач знайшов асоціацію і перевірив пакет. Доставка означає, що відновлений внутрішній пакет було маршрутизовано до місця призначення і на нього відповіли. Це різні результати, і панель, яка їх об'єднує, приховує саме ту інформацію, яка потрібна.

Те саме розрізнення пояснює частий звіт: лічильник шифрування однієї сторони зростає, а інша не повідомляє про корисний розшифрований трафік. Обидва твердження можуть бути правдивими одночасно, бо вони описують різні етапи однієї спроби.

Пошук асоціації відбувається до розшифрування

Отримувач за потреби збирає фрагменти, потім знаходить асоціацію безпеки для пакета. За звичайного unicast її вибирають SPI та адреса призначення. Без чинної асоціації подальшої обробки не відбувається, тому застарілий або невідповідний SPI дає тишу замість помилки, видимої застосунку.

Асоціації мають напрямок і можуть змінюватися під час оновлення ключів, тому запишіть сторону, що приймає, SPI та позначку часу поруч із вхідною асоціацією, яку вважаєте поточною. Показана вихідна асоціація або здоровий зв'язок IKE не замінює ту, що має прийняти цей пакет.

Перевірки повторення та цілісності відхиляють до появи корисного навантаження

Щойно асоціацію знайдено, отримувач застосовує алгоритми, які вона задає. Якщо захист від повторення увімкнено, номер послідовності поза вікном відхиляється. Збій перевірки цілісності також завершує обробку, бо ICV не збігається з пакетом у тому вигляді, в якому його отримано. Жоден випадок не створює розшифрований внутрішній пакет, тому ніщо не доходить до маршрутизації, політики чи застосунку.

Для цих станів використовуйте задокументовані помилки та лічильники реалізації, а не трактуйте кожен збій приймання як відмову списку доступу. Вимкнення цілісності або захисту від повторення заради появи трафіку не доводить, що вхідний пакет був законним; воно прибирає перевірку, яка казала правду.

Порт UDP 4500 це контейнер, а не вирок

Проходження через NAT несе ESP усередині UDP, і той самий порт несе повідомлення IKE та підтримання зв'язку. Тому активність на 4500 каже, що щось використовує порт, а не що застосунок створив пакет ESP. Класифікуйте навантаження, перш ніж відносити його до трафіку даних.

Це важливо, коли запис єдиний доступний доказ. Повідомлення підтримання зв'язку, що надходить за розкладом, може змусити мертвий тунель виглядати живим, а повідомлення IKE може змусити запис виглядати зайнятішим, ніж шлях даних насправді.

Маршрутизація та політика застосовуються лише після вилучення

Коли розшифрування вдається, відновлений внутрішній пакет входить у звичайний шлях: перевірки політики, маршрутизація, правила пересилання та цільовий хост. Пакет може пройти всі перевірки безпеки і все одно бути відкинутим тут, і шлях відповіді також має існувати. Цей збій належить пересиланню, а не ESP.

Тримайте лічильники прив'язаними до їхнього задокументованого етапу. Приймання на інтерфейсі, прийнятий ESP, розшифровані байти та переслані внутрішні пакети не обов'язково мають бути одним і тим самим числом, особливо коли прискорений шлях обслуговує площину даних, а площина керування звітує окремо. Загальний напис на панелі не доводить, що два лічильники означають одне й те саме.

Для однієї нової дозволеної операції збережіть останню підтверджену межу та першу значущу помилку. Ця пара підкаже наступному адміністратору, що досліджувати: доставку транспорту, асоціацію та цілісність або звичайне внутрішнє пересилання, і дозволить уникнути звичного виправлення зробити кожне правило дозвільним, щоб зрушити число.