Javobsiz chiqayotgan ESP VPN o'lgan degani emas
ESP har bir assotsiatsiya uchun bitta yo'nalishni himoya qiladi va hech narsani tasdiqlamaydi. Serverni javob bermayapti deb atashdan oldin ichki suhbatni va kiruvchi SA ni moslashtiring.
Siz IPsec xostida trafikni ushladingiz, ESP paketlari chiqayotganini ko'rdingiz, hech narsa qaytmayotganini ko'rdingiz va uzoq tomon buzilgan degan xulosaga keldingiz. Ushlash bu xulosani qo'llab-quvvatlamaydi. ESP suhbatning bitta yo'nalishini himoya qiladi va IP qatlamida hech narsani tasdiqlamaydi, shuning uchun qaytib keladigan ESP yo'qligi ilova aytadigan gapi yo'qligini ham, tunnel o'lganini ham anglatishi mumkin. Ikkala chetni ayblashdan oldin ichki almashinuvni va qabul qiluvchi tomon holatini o'qing.
Afsona: har bir himoyalangan paket javob oladi
ESP so'rov-javob protokoli emas. U siyosat tanlagan narsani shifrlaydi va autentifikatsiya qiladi, qabul qiluvchi esa o'z paketini yaratmasdan o'sha ichki paketni tekshiradi, deshifrlaydi va yetkazadi. Manzil e'tiborsiz qoldiradigan UDP so'rovi yoki kiruvchi siyosat tashlab yuboradigan ICMP aks-sadosi ikkala yo'nalishda ham jimjitlikni to'g'ri natija sifatida keltirib chiqaradi. Bu jimjitlikni transport nosozligi deb bilish sizni hech qachon bo'lmagan tarmoq nosozligini izlashga yuboradi.
Bir yo'nalishli ushlash aslida jo'natuvchining stegi o'sha kuzatuv nuqtasida nimanidir shifrlaganini isbotlaydi. Kelishi haqida hech narsa va javob berish niyati haqida ham hech narsa. Foydali savol „nega javob yo'q“ emas, balki „ichki suhbat nima hosil qilishi kerak edi“ degan savoldir.
Ikki SA, ikki SPI, bitta suhbat
IPsec xavfsizlik assotsiatsiyalari bir yo'nalishlidir, shuning uchun oddiy himoyalangan almashinuv alohida identifikatorlar va mustaqil holatga ega kiruvchi assotsiatsiya hamda chiquvchi assotsiatsiyani ishga tushiradi. Chiquvchi paketning SPI bo'yicha qaytish trafigini izlash shuning uchun kategoriya xatosi, chunki har qanday javob sherikning o'z chiquvchi SA si ostida o'z SPI si bilan harakatlanadi. Buning o'rniga juftlikni trafik selektorlari va sherik manzillari bo'yicha moslashtiring.
Kalit yangilanishi bir necha soniya davomida manzarani murakkablashtiradi, chunki eski va o'rinbosar holat bir-biriga tushishi mumkin. Agar alomat kalit almashinuvi atrofida boshlangan bo'lsa, faqat ulanish nomini emas, assotsiatsiya identifikatorlari va vaqt belgilarini birga to'plang.
Biror narsa javob berishidan oldin qabul qiluvchi nima qilishi kerak
| Stage | What to look at | Wrong conclusion if skipped |
|---|---|---|
| Sender encrypts | outbound SA packet counter | "the tunnel is up" |
| Peer receives | inbound SA counter and replay window | "the peer is down" |
| Inner delivery | target host or service logs | "routing is broken" |
| Application replies | the app's own trace | "the reply was dropped" |
| Protected return | the peer's outbound SA | "ESP only works one way" |
Har bir qator mustaqil ravishda muvaffaqiyatsiz bo'ladi va har bir nosozlikning boshqa egasi bor, shuning uchun bitta ushlash ularni ajrata olmaydi. Kiruvchi hisoblagich kelishning yagona bevosita dalilidir, chunki autentifikatsiya yoki takrorlanish tekshiruvidan o'tmagan paket hech qanday javobsiz tashlab yuboriladi. Kiruvchi hisoblagichi qimirlamagan sherik sizga o'z siyosati haqida hech qanday ma'lumot bermaydi.
Yetkazish deshifrlashdan alohida qadam. Holat to'g'ri bo'lishi mumkin va paket keyinchalik kiruvchi siyosat yoki ichki manzilni qamramaydigan marshrut tomonidan tashlab yuborilishi mumkin, shuning uchun toza hisoblagich paket siz xohlagan joyga ketdi deb taxmin qilish o'rniga maqsad xost ochiq matnni ko'rganini tekshiring.
Mahalliy ESP UDP emas
Mahalliy ESP bu IP protokoli 50, u na TCP na UDP va umuman porti yo'q. Shuning uchun UDP 500 da IKE ga ruxsat beruvchi xavfsizlik devori qoidasi ma'lumot yo'li haqida hech narsa demaydi, portlar atrofida yozilgan filtr tunnelga kelishib olishga ruxsat berib, keyin uning ichida olib o'tilgan hamma narsani tashlab yuborishi mumkin. Ma'lumot yo'lini siz haqiqatda kuzatgan rejimda alohida sinab ko'ring.
NAT orqasida shakl o'zgaradi: himoyalangan yuk UDP ichida, odatda 4500 portda, RFC 3948 belgilaganidek harakatlanadi. Har qanday qoida yozishdan oldin faol rejimni yozib qo'ying, chunki yo'ldagi qurilma mahalliy ESP va UDP ga o'ralgan ESP ni butunlay boshqacha ko'rib chiqishi mumkin, ba'zi oraliq qutilar biriga ruxsat berib, ikkinchisini tashlab yuboradi.
Bu hodisaga tegishli hisoblagichlarni o'qing
strongSwan xostida swanctl --list-sas har bir assotsiatsiya uchun paket va bayt hisoblagichlarini ikkala yo'nalishda xabar qiladi, bu esa „hech qachon kelmagan“ ni „kelgan va javob berilmagan“ dan ajratish uchun yetarli. Linux da /proc/net/xfrm_stat yo'q holat, yo'q siyosat va protokol xatolari kabi jamlangan nosozliklarni sanaydi. Bu yig'indilar yuklanishdan beri to'planadi va bitta tarmoq nom fazosiga tegishli, shuning uchun katta raqam ayblov emas.
To'g'ri nom fazosida hodisa oynasi atrofida ikki o'qish oling va farqlarni solishtiring, aks holda o'tgan haftaning xatolarini bugungi tushlik chiptasiga yozasiz. Nom fazosini va ikkala vaqt belgisini chiptaga qo'ying, shunda keyingi o'quvchi yig'indiga ishonish o'rniga taqqoslashni takrorlay oladi.
Bosqichni nomlang, gumondorni emas
Foydali xulosa paket qayerda to'xtaganini aytadi: hech qachon olinmagan, olingan va tashlangan, yetkazilgan lekin javobsiz, yoki javob berilgan va qaytish yo'lida yo'qolgan. Ularning har biri boshqa egaga va boshqa keyingi buyruqqa ishora qiladi. „VPN serveridan javob yo'q“ to'rt xil nosozlikni ushlash hech qachon oqlamagan bitta gapga jamlaydi.
Ushlashlarni tor tuting va yadro xom holatini chiptalardan tashqarida saqlang, chunki u xostdan chiqmasligi kerak bo'lgan kalit materialini olib yurishi mumkin. Hisoblagich farqlari va vaqt belgilari keyingi odamga topshirishga arziydigan qismlardir.