ESP đã đến nhưng không có gì được giải mã? Theo dõi các giai đoạn vào

Khi bộ đếm mã hóa của tường lửa tăng lên trong khi đường hầm không giao được gì, bản năng là mở rộng một quy tắc truy cập. Bản năng đó bỏ qua chính trình tự kiểm tra của bên nhận. Gói ESP vào đi qua nhiều giai đoạn, và mỗi giai đoạn có thể kết thúc vòng đời của gói vì một lý do khác nhau: không có liên kết phù hợp, lỗi phát lại hoặc toàn vẹn, hoặc gói bên trong ổn nhưng không được phép đi tiếp. Gọi tên giai đoạn đã thất bại biến một tuyên bố mơ hồ rằng IPsec hỏng thành một bộ đếm cụ thể và một cách sửa cụ thể.

Đến nơi là một quan sát, không phải ba

Một bản bắt gói bên ngoài cho thấy ESP đến cổng chỉ chứng minh gói bên ngoài đã đến. Chấp nhận nghĩa là bên nhận đã tìm thấy liên kết và xác thực gói. Giao nghĩa là gói bên trong được khôi phục đã được định tuyến tới đích và có phản hồi. Đó là những kết quả riêng biệt, và một bảng điều khiển gộp chúng lại sẽ giấu đúng thông tin bạn cần.

Cùng sự phân biệt đó giải thích một báo cáo phổ biến: bộ đếm mã hóa của một bên tăng lên trong khi bên kia không báo cáo lưu lượng đã giải mã hữu ích nào. Cả hai câu đều có thể đúng cùng lúc, vì chúng mô tả các giai đoạn khác nhau của cùng một lần thử.

Việc tra cứu liên kết diễn ra trước khi giải mã

Bên nhận lắp lại các mảnh nếu cần, rồi tìm liên kết bảo mật cho gói. Trong unicast thông thường, SPI và đích chọn nó. Không có liên kết hợp lệ nghĩa là không xử lý tiếp, vì vậy một SPI cũ hoặc không khớp tạo ra im lặng thay vì lỗi mà ứng dụng nhìn thấy.

Các liên kết có hướng và có thể thay đổi trong lúc làm mới khóa, nên ghi lại bên nhận, SPI và dấu thời gian bên cạnh liên kết vào mà bạn cho là hiện tại. Một liên kết ra được hiển thị, hay một quan hệ IKE khỏe mạnh, không thay thế cho liên kết lẽ ra phải nhận gói này.

Các kiểm tra phát lại và toàn vẹn từ chối trước khi có tải trọng

Khi đã tìm thấy liên kết, bên nhận áp dụng các thuật toán mà liên kết đó chỉ định. Nếu bật bảo vệ chống phát lại, số thứ tự ngoài cửa sổ sẽ bị từ chối. Lỗi kiểm tra toàn vẹn cũng kết thúc xử lý, vì ICV không khớp với gói như đã nhận. Không trường hợp nào tạo ra gói bên trong đã giải mã, nên không có gì đến được định tuyến, chính sách hay ứng dụng.

Với những trạng thái này, hãy dùng lỗi và bộ đếm đã được ghi tài liệu của bản triển khai thay vì coi mọi lỗi nhận là từ chối của danh sách truy cập. Tắt toàn vẹn hoặc bảo vệ chống phát lại để lưu lượng hiện ra không chứng minh gói vào là hợp lệ; nó loại bỏ kiểm tra đang nói sự thật.

Cổng UDP 4500 là vật chứa, không phải phán quyết

Đi xuyên NAT mang ESP bên trong UDP, và cùng cổng đó cũng mang thông điệp IKE và giữ kết nối. Vì vậy hoạt động trên 4500 cho biết có thứ gì đó đang dùng cổng, không phải ứng dụng đã tạo gói ESP. Phân loại tải trọng trước khi quy nó cho lưu lượng dữ liệu.

Điều này quan trọng khi bản bắt gói là bằng chứng duy nhất. Một thông điệp giữ kết nối đến đúng hẹn có thể khiến đường hầm chết trông như còn sống, và một thông điệp IKE có thể khiến bản bắt gói trông bận hơn con đường dữ liệu thực sự.

Chỉ sau khi trích xuất thì định tuyến và chính sách mới áp dụng

Khi giải mã thành công, gói bên trong được khôi phục đi vào đường bình thường: kiểm tra chính sách, định tuyến, quy tắc chuyển tiếp và máy đích. Một gói có thể qua mọi kiểm tra bảo mật và vẫn bị bỏ ở đây, và đường phản hồi cũng phải tồn tại. Thất bại đó thuộc về chuyển tiếp, không phải ESP.

Giữ bộ đếm gắn với giai đoạn đã được ghi tài liệu của chúng. Nhận trên giao diện, ESP được chấp nhận, byte đã giải mã và gói bên trong đã chuyển tiếp không nhất thiết là cùng một con số, nhất là khi một đường tăng tốc đảm nhận mặt phẳng dữ liệu và mặt phẳng điều khiển báo cáo riêng. Nhãn bảng điều khiển chung không phải bằng chứng rằng hai bộ đếm có cùng ý nghĩa.

Với một thao tác được cấp phép mới, hãy giữ ranh giới đã xác nhận cuối cùng và lỗi liên quan đầu tiên. Cặp đó cho người quản trị tiếp theo biết nên điều tra gì: giao nhận vận chuyển, liên kết và toàn vẹn, hay chuyển tiếp bên trong thông thường, và tránh cách sửa quen thuộc là làm mọi quy tắc thành cho phép để dịch một con số.