ESP yetib keldi, lekin hech narsa shifrdan chiqarilmadi? Kiruvchi bosqichlarni kuzating

Firewallning shifrlash hisoblagichi oshib, tunnel hech narsa yetkazmasa, kirish qoidasini kengaytirish instinkti paydo bo‘ladi. Bu instinkt qabul qiluvchining o‘z tekshiruv tartibini chetlab o‘tadi. Kiruvchi ESP paketi bir necha bosqichdan o‘tadi va har biri paket hayotini boshqa sabab bilan tugatishi mumkin: mos assotsiatsiya yo‘q, qayta o‘ynatish yoki yaxlitlik xatosi, yoki ichki paket joyida, lekin keyinga ruxsat berilmagan. Muvaffaqiyatsiz bosqichni nomlash IPsec buzilgan degan noaniq gapni aniq hisoblagich va aniq tuzatishga aylantiradi.

Yetib kelish bitta kuzatuv, uchta emas

ESP shlyuzga yetib kelganini ko‘rsatuvchi tashqi yozuv faqat tashqi paket kelganini isbotlaydi. Qabul degani qabul qiluvchi assotsiatsiyani topib, paketni tekshirdi. Yetkazish degani tiklangan ichki paket manziliga yo‘naltirildi va javob oldi. Bular alohida natijalar, ularni birlashtiruvchi panel esa aynan kerakli ma'lumotni yashiradi.

Xuddi shu farq keng tarqalgan hisobotni tushuntiradi: bir tomonning shifrlash hisoblagichi oshadi, ikkinchi tomon esa foydali shifrdan chiqarilgan trafik haqida xabar bermaydi. Ikkala gap ham bir vaqtda to‘g‘ri bo‘lishi mumkin, chunki ular bir urinishning turli bosqichlarini tasvirlaydi.

Assotsiatsiyani izlash shifrdan chiqarishdan oldin bo‘ladi

Qabul qiluvchi kerak bo‘lsa bo‘laklarni qayta yig‘adi, so‘ng paketning xavfsizlik assotsiatsiyasini topadi. Oddiy unicastda uni SPI va manzil tanlaydi. Yaroqli assotsiatsiya bo‘lmasa, keyingi ishlov bo‘lmaydi, shuning uchun eskirgan yoki mos kelmagan SPI ilova ko‘radigan xato o‘rniga sukunat hosil qiladi.

Assotsiatsiyalar yo‘naltirilgan va kalit yangilashda o‘zgarishi mumkin, shuning uchun joriy deb hisoblagan kiruvchi assotsiatsiya yoniga qabul qiluvchi tomonni, SPI va vaqt belgisini yozib qo‘ying. Ko‘rsatilgan chiquvchi assotsiatsiya yoki sog‘lom IKE aloqasi bu paketni olishi kerak bo‘lgan assotsiatsiyaning o‘rnini bosmaydi.

Qayta o‘ynatish va yaxlitlik tekshiruvlari yuk paydo bo‘lishidan oldin rad etadi

Assotsiatsiya topilgach, qabul qiluvchi u belgilagan algoritmlarni qo‘llaydi. Qayta o‘ynatishdan himoya yoqilgan bo‘lsa, oynadan tashqari tartib raqami rad etiladi. Yaxlitlik tekshiruvi xatosi ham ishlovni tugatadi, chunki ICV olingan paketga mos kelmaydi. Hech bir holat shifrdan chiqarilgan ichki paket hosil qilmaydi, shuning uchun hech narsa marshrutlash, siyosat yoki ilovaga yetib bormaydi.

Bu holatlar uchun ilovaning hujjatlashtirilgan xatolari va hisoblagichlaridan foydalaning, har bir qabul xatosini kirish ro‘yxati rad etishi deb hisoblash o‘rniga. Trafik ko‘rinishi uchun yaxlitlik yoki qayta o‘ynatishdan himoyani o‘chirish kiruvchi paket qonuniy bo‘lganini isbotlamaydi; haqiqatni aytayotgan tekshiruvni olib tashlaydi.

UDP porti 4500 idish, hukm emas

NAT orqali o‘tish ESP ni UDP ichida olib yuradi, xuddi shu port IKE va aloqa saqlash xabarlarini ham olib yuradi. Shuning uchun 4500 dagi faollik nimadir portdan foydalanayotganini bildiradi, ilova ESP paket yaratganini emas. Yukni ma'lumot trafigiga bog‘lashdan oldin tasniflang.

Bu yozuv yagona dalil bo‘lganda muhim. Vaqtida kelgan aloqa saqlash xabari o‘lik tunnelni tirik ko‘rsatishi mumkin, IKE xabari esa yozuvni ma'lumot yo‘li aslida bo‘lganidan ko‘proq band ko‘rsatishi mumkin.

Marshrutlash va siyosat faqat ajratib olingandan keyin qo‘llanadi

Shifrdan chiqarish muvaffaqiyatli bo‘lsa, tiklangan ichki paket odatdagi yo‘lga kiradi: siyosat tekshiruvlari, marshrutlash, uzatish qoidalari va manzil hosti. Paket barcha xavfsizlik tekshiruvlaridan o‘tib, shu yerda tashlab yuborilishi mumkin, javob yo‘li ham mavjud bo‘lishi kerak. Bu muvaffaqiyatsizlik uzatishga tegishli, ESP ga emas.

Hisoblagichlarni ularning hujjatlashtirilgan bosqichiga bog‘lab turing. Interfeysdagi qabul, qabul qilingan ESP, shifrdan chiqarilgan baytlar va uzatilgan ichki paketlar bir xil son bo‘lishi shart emas, ayniqsa tezlashtirilgan yo‘l ma'lumot tekisligini boshqarib, boshqaruv tekisligi alohida hisobot berganida. Umumiy panel yorlig‘i ikki hisoblagich bir xil narsani anglatishining isboti emas.

Bitta yangi ruxsat etilgan amal uchun oxirgi tasdiqlangan chegarani va birinchi tegishli xatoni saqlang. Bu juftlik keyingi administratorga nimani tekshirishni aytadi: transport yetkazish, assotsiatsiya va yaxlitlik yoki odatdagi ichki uzatish, va sonni siljitish uchun har bir qoidani yumshoq qilish odatdagi tuzatishdan saqlaydi.