Nega faqat shifrlash takror yuborilgan paketni to'xtatmaydi

Himoyalangan paketlar kriptografik jihatdan muddati tugamaydi, shuning uchun besh daqiqa oldin haqiqiy bo'lgan paket hozir ham haqiqiy, chunki shifrlash va butunlik himoyasi baytlar qachon yaratilgani haqida hech narsa demaydi. Trafikni ushlab, qayta yubora oladigan hujumchiga shifrni buzish shart emas. Shuning uchun har bir jiddiy tunnel protokoli kalitlari bilan birga ketma-ketlik holatini olib yuradi.

Mexanizm kichik, va uning ishdan chiqish usullarini paket yo'qolishi bilan aralashtirish oson.

Haqiqiy shifrmatn yangi shifrmatn emas

Autentifikatsiya bitta savolga javob beradi: bu baytlar kalit egasidan o'zgarmagan holda keldimi. U qabul qiluvchi ularni birinchi marta ko'ryaptimi, degan savolga javob bermaydi. Takror yuborilgan paket birinchi sinovdan mukammal o'tadi, shuning uchun faqat butunlik tekshiruvi takrorni to'xtata olmaydi va shuning uchun protokolga qabul qilish haqida ikkinchi qoida kerak. Faqat autentifikatsiya qiladigan qabul qiluvchining yozuvi bor hujumchiga qarshi himoyasi yo'q.

Bu qoida joriy etish ham, aytish ham arzon: berilgan himoyalangan paketni berilgan kalit ostida bir marta qabul qil. Bu sohadagi qolgan hamma narsa amalga oshirish o'sha bir martani qanday kuzatishidan kelib chiqadi.

Takror yuborish rad etilishini shifr ochish xatosi deb o'qish sizni butunlay noto'g'ri quyi tizimga yuboradi.

Ketma-ketlik raqami va oyna

IPsec ESP ketma-ketlik raqamini olib yuradi va qabul qiluvchi yaqinda qabul qilingan qiymatlarning sirg'aluvchi oynasini saqlaydi, ESP spetsifikatsiyasi esa standart oyna hajmi va uni kengaytirish imkoniyatini tavsiflaydi. WireGuard har bir kalit uchun hisoblagich va unga qarshi aniq tekshiruv bilan boshqa yo'l tutadi. Hech bir dizayn paketlar tartib bilan kelishini nazarda tutmaydi, chunki haqiqiy tarmoqlar ularni qayta tartiblaydi. Ikkalasi ham qayta tartiblashga toqat qiladi, hech biri takrorga toqat qilmaydi.

Aynan oyna bu toqatni mumkin qiladi. Ko'rilgan eng yuqori qiymatdan biroz orqada turgan paket avval qabul qilinmagan bo'lsa, hali ham qabul qilinishi mumkin; ancha orqada turgan yoki o'rni allaqachon belgilangan paket tashlanadi. Oynani kattalashtiring va har bir birlashma uchun ko'proq holat hisobiga ko'proq qayta tartiblashga toqat qilasiz.

Diagnostika hisoblagichlari qaysi holatda ekaningizni ko'rsatadi. Takror yuborish radlari umumiy xato emas, ma'lum hisoblagichni oshiradi, va o'sha hisoblagichni o'qish birinchi foydali kuzatuvdir.

nstat -az | grep -i XfrmIn
ip -s xfrm state | head -n 30
wg show wg0 transfer

Holat kalitga tegishli, xostga emas

Hisoblagich holati xavfsizlik birlashmasiga yoki kalit davriga bog'langan, shuning uchun kalitni almashtirish yangi kontekst va o'z ketma-ketlik fazosini yaratadi. Kalitni almashtirmasdan hisoblagichni tozalash yoki qo'lda qayta o'rnatishdan keyin birlashmani qayta ishlatish qabul qiluvchi oynasi tayanadigan farazni buzadi. Shuning uchun operator ko'radigan qayta o'rnatish tugmasi o'rniga protokol boshqaradigan kalit almashtirish mavjud.

Qo'lda aralashuvdan keyin tunnel yomon ishlasa, aralashuv ketma-ketlik holatiga tegganini so'rang. Bir xil ko'rinadigan konfiguratsiya boshqacha ishlashi mumkin, chunki meros olgan holat u kutgan holat emas.

Biror narsani o'chirishdan oldin sababni aniqlang

Yo'qotish, qayta tartiblash, ikki nusxadagi trafik va amalga oshirish nuqsoni barchasi qayta yuborish sifatida namoyon bo'ladi va ulardan faqat bittasi takror muammosi. Shovqinni bosish uchun tekshiruvni o'chirish siz tayangan xususiyatni olib tashlaydi va asl sababni topishni qiyinlashtiradi, chunki endi qayta yuborishlarning hech qanday izohi yo'q.

Cheklangan dalil to'plang: birlashma identifikatorlari, ketma-ketlik raqamlari va hisoblagichlar, foydali yuksiz. Bu nusxani qayta tartiblangan kelishdan ajratish uchun yetarli, va bu sizning diagnostika faylingizni foydalanuvchi trafigining nusxasiga aylantirmaydi.

Tekshiruv nima va'da qilmaydi

Takrordan himoya bir protokol ichidagi paket ishlovining xususiyati. Bu operator hech qanday jurnal tutmaydi, sayt akkauntni taniy olmaydi yoki sessiya anonim degani emas. Bular alohida tizimlar haqidagi alohida savollar, va kuchli takrorga qarshi dizayn ularning hech biriga javob bermaydi.

Qo'llab-quvvatlanadigan sozlamalar bilan saqlanadigan dasturiy ta'minot foydalanuvchi ega bo'lgan amaliy nazoratdir. Paketni protokol boshqaradi; qolgan hamma narsa operatsion qaror bo'lib qoladi.