Кратко

  • draft-ietf-ipsecme-encrypted-esp-ping-03 передаёт Echo по установленной ESP SA и может запросить конкретный SPI для ответа.
  • Запрос пути — намерение; доказательством служит фактический входящий SPI, а не зелёный итог теста.
  • Обычный трафик, SPD, счётчики, ресурсы ответчика и результат приложения остаются отдельными уровнями.

Запрос ушёл по спутниковой SA и потребовал ответа по оптической. Ответ пришёл, но его SPI снова указал на спутник. Криптография подтвердила пакет; оптика осталась непроверенной.

Datatracker и история называют текущей редакцию 03. API подач показывает 04 лишь как uploaded. Это рабочий Internet-Draft, не RFC и не доказательство внедрения.

Запрос идёт как ESP с AGGFRAG_PAYLOAD: один режим использует USE_AGGFRAG, другой согласует ENCRYPTED_PING_SUPPORTED. В реестрах IANA AGGFRAG и IKEv2 предложенных имён пока нет.

Идентификатор, Echo-последовательность и обратный SPI связывают опыт. Инициатор проверяет SPI в SADB, ответчик — по собственной политике. Он может отказаться от запрошенной SA и ответить по входящей. Значит, журнал обязан хранить запрошенный и фактический SPI.

RFC 4301 определяет SA как однонаправленную и допускает параллельные SA с одинаковыми селекторами. RFC 4303 делает аутентифицированный ответ сильным доказательством одного пакета. Но обычный поток проходит SPD-решение PROTECT, DISCARD или BYPASS. Echo намеренно принимается вне обычного сопоставления, поэтому не доказывает клиентский поток.

RFC 9347 задаёт AGGFRAG без надёжной доставки внутренних пакетов. RFC 7296 устанавливает IKE/Child SA, не доказывая ESP-путь. Раздельные транспорты, Echo до IKE и RFC 7110 показывают границы контрольного канала, другого механизма и ложного отрицания на возврате.

При тайм-ауте нужно проверить аутентифицированные входящие счётчики и ресурсы. Их рост не доказывает Echo или обратное направление, но опровергает полный отказ. Хранить следует версию, capability, peer, время, ID, sequence, исходящий, запрошенный и реальный SPI, проверку, счётчики, нагрузку, селекторы/SPD, размер и подтверждение приложения.

Слои реальности, минимальная исходная спецификация и приоритет работающего кода не позволяют обещанию заменить наблюдение.

Источники