ESP to‘g‘ri shifrni ochadi, ichki paket esa baribir hech qayerga yetib bormaydi
Ilova hech narsa ko‘rmayotganda ESP hisoblagichlari oshadi. Treylerdagi keyingi sarlavha ichki paketga mos kelishi kerak, bu selektor o‘tkazib yuborilishidan boshqa nosozlik.
ESP qabul qilish hisoblagichi oshadi, tunnel ko‘tarilgan holda qoladi, ilova esa paketni hech qachon ko‘rmaydi. Shifr ochildi, yaxlitlik tekshiruvi o‘tdi, so‘ngra qabul qiluvchi himoyalangan yuk aslida nima ekanini hal qilishi kerak edi. Format nomuvofiqligi aynan shu oxirgi qadamda paydo bo‘ladi va tashqaridan bu umuman xavfsizlik devori muammosiga o‘xshamaydi.
Yorliq yolg‘on gapirganda nima ko‘rasiz
Mijoz jurnalida buni marshrutlash qora tuynugidan ajratadigan hech narsa yo‘q. Ikkalasi ham sog‘lom tunnel yonida ilova vaqti tugashini keltirib chiqaradi, shuning uchun birinchi navbatda hisoblagichlar ayblanadi.
O‘sib borayotgan qabul hisoblagichi haqiqatan ham yaxshi xabar: paketlar keladi va autentifikatsiyadan o‘tadi. Lekin bu ichki paket kripto qatlamidan yuqoridagi biror narsa uchun mazmunli bo‘lganiga dalil emas.
Tur treylerda yashaydi
Oddiy IPsec tunnel rejimida ESP himoyalagan yuk to‘liq ichki IP paketni o‘z ichiga oladi. Treylerdagi keyingi sarlavha maydoni bu yuk nima ekanini belgilaydi va u TCP porti emas, tashqi sarlavhadagi protokol raqami emas, boshlang‘ich SPI va ketma-ketlik raqami maydonining qismi ham emas. RFC 4303 2.6-bo‘lim uni yuk turi maydoni deb belgilaydi, bu aniq ish uchun aniq nom.
Uchrashadigan qiymatlar kichik va eslab qolishga arziydi: IPv4 — 4 (0x04), IPv6 — 41 (0x29).
Bu raqamlar mahalliy odatdan emas, IANA protokol raqamlari taqsimotidan keladi. IPv4 deb e’lon qilib, IPv6 paketni o‘rab yuborgan jo‘natuvchi format nomuvofiqligini keltirib chiqargan va o‘z yorlig‘iga zid baytlarni hech qanday xavfsizlik devori qoidasi tuzatmaydi.
Uni odatdagi gumondorlardan qanday ajratish mumkin
Yo‘qolgan paketlarning aksariyati kodlash nuqsonlari emas. Avval selektorlarni tekshiring, chunki IPv6 prefiksini chiqarib tashlaydigan trafik selektori biror narsa inkapsulyatsiya qilinishidan oldin trafikni tashlab yuboradi. So‘ngra marshrutlashni, keyin qabul qiluvchi xostdagi mahalliy filtrlashni tekshiring. Faqat shular chiqarib tashlangandan keyingina yuk formati nomuvofiqligi ishonchli izohga aylanadi.
Shifrlangan ushlash buni hal qilmaydi, chunki himoyalangan keyingi sarlavha shifrlangan yukning ichida joylashgan. Sizga joriy etish diagnostikasi yoki qo‘llab-quvvatlanadigan shifri ochilgan kuzatuv nuqtasi kerak, ikkalasi ham ishlatishdan oldin ruxsat talab qiladi.
Agar hech kim bu dalilni bera olmasa, sizda format xatosi yo‘q. Sizda nazariya bor va selektorlar baribir yaxshiroq garov bo‘lib qoladi.
Tuzatish nima emas
Trafik o‘tishi uchun yaxlitlik tekshiruvlarini o‘chirmang. Shifrlangan paketlarni oraliq marshrutizatorda qayta yozmang, chunki bu ishlay olmaydi va ushlashda foydali ko‘rinib tursa ham oqimni buzadi. Port bloklangan degan nazariya bilan ilova uchun kengroq xavfsizlik devori qoidasini ochmang. Ularning hech biri yorliq nomuvofiqligiga tegmaydi.
Agar tasdiqlangan nomuvofiqlik hamkor joriy etishdan kelgan bo‘lsa, minimal tozalangan takror hosilni saqlang va uni o‘sha joriy etishning qo‘llab-quvvatlanadigan kanaliga olib boring.
Oqimni tekshiring, hisoblagichni emas
Tuzatishdan so‘ng haqiqiy IPv6 oqimini boshidan oxirigacha sinab ko‘ring: tunnel orqali ilova so‘rovi, uning javobi va har bir tomon ko‘radigan manzil jufti. O‘sib borayotgan ESP hisoblagichi faqat paketlar qabul qilinib, autentifikatsiya qilinayotganini isbotlaydi. Ichki paket ishlatishga yaroqli bo‘lganmi yoki yo‘qmi, bu haqda u hech narsa demaydi.
Ikkala natijani ham biletga yozib qo‘ying. Hisoblagich harakati va ishlaydigan oqim tuzatishdir; faqat hisoblagich harakati esa boshlashdan oldin sizda bo‘lgan narsaning aynan o‘zi.