VPN paketida nechta nazorat summasi bor? Bu holatga bog'liq

VPN paketi aynan ikkita nazorat summasini tashiydu degan da'vo tartibli eshitiladi va uni tahlil qilishga arziydigan darajada tez-tez xato bo'ladi. Son qaysi IP versiyalari paydo bo'lishiga, qaysi transport protokoli tashilishiga va tunnel qaysi himoya formatidan foydalanishiga bog'liq. Sarlavha nazorat summasi, yuqori qatlam nazorat summasi va kriptografik yaxlitlik tegi uch xil qamrovga ega uchta mexanizmdir. Ularni sanash har biri nimani qamrab olishini belgilashdan boshlanadi.

Simda haqiqatan qaysi IP versiyalari borligini tekshiring

IPv4 sarlavhalari 16 bitli sarlavha nazorat summasini tashiydi, IPv6 sarlavhalari esa bunday narsani tashimaydi. Shu bitta fakt har bir tunnel uchun sonni o'zgartiradi, chunki IPv4 ni IPv6 ichiga va IPv6 ni IPv4 ichiga o'rash turli hujjatlar hosil qiladi. Tunnel ikkala oilani bir vaqtda tashishi mumkin va u holda bir yo'nalishda ikkinchisida yo'q maydon bo'lishi mumkin. Biror narsani sanashdan oldin versiyalarni aniqlang.

Tartibni rasm emas, sarlavhalar ro'yxati sifatida yozing. Yozuvni o'qishda tartib muhim va nazorat summasi maydonining borligi yoki yo'qligi birinchi belgilanishi kerak bo'lgan narsa.

outer IPv6 | ESP | inner IPv6 | UDP | application data
outer IPv4 | ESP | inner IPv4 | TCP | application data

Birinchi satrda uning IP sarlavhalarida hech qayerda IP sarlavha nazorat summasi yo'q, ikkinchi satrda esa ikkala sarlavha ham IPv4 bo'lganda ikkitasi bor. Bir xil tunnel texnologiyasi, boshqa son va satrlarning hech biri to'liq sim formati emas.

Har bir nazorat summasi nimani qamrab olishini tekshiring

Qamrov odamlar o'tkazib yuboradigan qism va sonni mazmunli qiladigan narsa ham shu. IPv4 sarlavha nazorat summasi sarlavhani himoya qiladi va boshqa hech narsani, shuning uchun uning orqasidagi yuk haqida hech narsa demaydi. IPv6 ustidagi UDP nazorat summasi psevdo-sarlavha bilan birga UDP sarlavhasi va yukini qamrab oladi, ya'ni datagram tunnelga solinganda tashilayotgan paketning ichiga qadar yetib boradi. TCP ning psevdo-sarlavhaga o'xshash bog'liqligi bo'lgan o'z nazorat summasi bor. Uchtasi ham nazorat summasi deb atalsa-da, bular uch xil qamrov.

RFC 791 IPv4 sarlavhasini tekshirish va uning har bir sakrashda qayta hisoblanishini belgilaydi, RFC 8200 esa psevdo-sarlavhani qo'shgan holda IPv6 ustidagi yuqori qatlam ishlovini belgilaydi. Hech bir hujjat VPN paketida nazorat summalarining qat'iy soni bor deb aytmaydi, chunki hech biri tunnelni tasvirlamaydi.

tshark -r capture.pcap -Y "ip.proto == 50" -V | grep -i checksum

Yaxlitlik himoyasini alohida tekshiring

ESP yaxlitligi o'z qamrovi va algoritmga bog'liq tasviriga ega kriptografik himoyadir. Bu boshqa nom ostidagi IP yoki UDP nazorat summasi emas va uzunligi tanlangan tuzilishga qarab o'zgaradi. Yaxlitlik tekshiruvi paketning belgilangan qismini qamrab oladi, u qo'llaniladigan rejimga qarab ESP sarlavhasi va yukning bir qismini o'z ichiga olishi mumkin. Uni ma'lum kenglikdagi nazorat summasi maydoni deb sanash bu tushuntirishlarning ko'pchiligi buziladigan joydir.

Baytlarni sanashdan oldin tanlangan tuzilishni o'qing va natijani boshqa yorliqli nazorat summasi emas, yaxlitlik himoyasi sifatida tasvirlang. So'rasangiz dekoder maydon nomini aytadi.

tshark -r capture.pcap -Y esp -V | grep -iE "integrity|icv"

Sanashdan oldin kuzatuv nuqtasini tekshiring

Ichki interfeysdagi yozuv va simdagi yozuv butunlay boshqa qatlamlarni ko'rsatishi mumkin. Ichki interfeysda tunnel allaqachon olib tashlangan, shuning uchun tashilayotgan paketni ko'rasiz va tashqi sarlavhalarning birortasini ko'rmaysiz. Simda tashqi sarlavhalar va o'qib bo'lmaydigan shifrlangan yukni ko'rasiz. Hech bir ko'rinish xato emas va ular bir obyektning ko'rinishlari emas. Har qanday sonni keltirishdan oldin yozuv qayerda olinganini ayting.

sudo tcpdump -ni eth0 -vv -c 5 esp
sudo tcpdump -ni tun0 -vv -c 5

Birinchi buyruq tashqi paketni yaxlitlik treyleri bilan ko'rsatadi, ikkinchisi tashilayotgan paketni o'z transport nazorat summasi bilan ko'rsatadi. Ikki yozuvdagi sonlarni qo'shish hech narsani ikki marta sanamaydi, lekin bir paketni ikki marta tushuntiradi.

Sonni haqiqiy yozuv bilan solishtiring

Bitta paketni to'liq dekodlab, dekoder nazorat summasi yoki yaxlitlik qiymati deb ataydigan har bir maydonni belgilang. So'ngra har bir belgini siz yozgan tartib bilan solishtiring va siz haqiqatan sanamayotgan qatlamga tegishli belgilarni o'chiring. Shu mashqdan omon qolgan son himoya qilinadigan, xotiradan aytilgan son esa unday emas.

Javob yo'nalishi uchun ham takrorlang, chunki ikkala oilani tashiyotgan tunnel yo'nalish va oqim bo'yicha farq qilishi mumkin. So'ngra sonni qamrovi bilan ayting, masalan bu kuzatuv nuqtasida bu ichki paket uchun uchta nazorat summasi, umuman VPN paketlarining xossasi sifatida emas.

tshark -r capture.pcap -T fields -e ip.checksum -e udp.checksum -e tcp.checksum