Zusammenfassung

  • draft-ietf-ipsecme-encrypted-esp-ping-03 trägt Echo in einer bestehenden ESP-SA und kann einen Rückweg-SPI anfordern.
  • Eine authentisierte Antwort belegt die tatsächlich benutzten gerichteten SAs, nicht die normale SPD-Auswahl oder den Anwendungserfolg.
  • Timeout, Ressourcen, Zähler, angeforderter/tatsächlicher SPI und ein Nutzverkehrs-Canary gehören in getrennte Belege.

Der Paketmitschnitt ist sauber: Kennung und Echo-Sequenz stimmen, ESP-Authentisierung besteht. Im Geschäftssystem fehlt trotzdem jede Transaktion. Genau zwischen diesen Aussagen liegt die operative Grenze.

Datatracker und Historie führen Revision 03 als aktuellen Entwurf. Die Submission-API zeigt Revision 04 nur als uploaded. Revision 03 ist kein RFC und kein Einsatznachweis.

Der Request läuft als ESP mit AGGFRAG_PAYLOAD. Modus 1 nutzt USE_AGGFRAG, Modus 2 verhandelt ENCRYPTED_PING_SUPPORTED. In den IANA-Registern für AGGFRAG und IKEv2 fehlen die vorgeschlagenen Namen noch.

Request-ID, Echo-Sequenz und optionaler Rückweg-SPI korrelieren den Versuch. Der Responder prüft den gewünschten SPI gegen eigene Policy und darf über eine andere SA antworten. Deshalb ist der beobachtete SPI entscheidend.

RFC 4301 macht SAs einseitig und erlaubt parallele SAs mit gleichen Selektoren. RFC 4303 authentisiert das Paket. Normaler Verkehr unterliegt weiterhin SPD-Entscheidungen PROTECT, DISCARD oder BYPASS. Der Entwurf nimmt Echo bewusst von gewöhnlichem Policy-Matching aus; sein Erfolg kann die Anwendung nicht vertreten.

RFC 9347 liefert AGGFRAG, aber keine zuverlässige innere Zustellung. RFC 7296 errichtet IKE/Child SAs, ohne den ESP-Pfad zu beweisen. Getrennte Transporte, ESP Echo vor IKE und RFC 7110 begrenzen die Aussage zu Kontrollkanal, anderem Mechanismus und Rückweg-Falschnegativ.

Bei Stille bleiben Ressourcen und authentisierte Eingangs-Zähler relevant. Steigende Zähler beweisen nicht die Echo-Antwort, widerlegen aber den Totalstillstand. Zu speichern sind Version, Fähigkeit, Peer, Zeit, ID, Sequenz, Ausgangs-, Wunsch- und Ist-SPI, Kryptoverdikt, Zähler, Last, Selektoren/SPD, Größe und Anwendungsquittung.

Realitätsebenen, Minimum Initial Specification und Running-Code-Primat halten gemeinsame Form, lokale Entscheidung und beobachtetes Ergebnis auseinander.

Quellen