Hoe om ’n nuwe IKE_SA_INIT-uitruiling in ’n opname te lees

Begin by ’n opname wat voor die eerste pakket van die poging begin, anders lees jy die middel van ’n gesprek. ’n Onderhandeling wat reeds loop, wys versleutelde uitruilings en sleutelvernuwings, en nie een daarvan lyk soos die opening nie. Die opening is die deel wat jy sonder sleutels kan dekodeer, en daarom beantwoord dit bereikbaarheidsvrae so goed. Vier kontroles in volgorde neem jou van ’n vars opname na ’n verdedigbare stelling oor watter kant opgehou praat het.

Eerstens, bevestig dat die opname by die begin begin

’n Opname wat begin is nadat die tonnel opgekom het, sal die ingekapselde datastroom en periodieke keepalives bevat, en albei is óf versleutel óf byna leeg. Herbegin die kliënt en teken die poging self op, of lok doelbewus ’n vars verbinding uit terwyl die opname loop. As jy nie ’n vars poging kan lewer nie, sê so in jou notas, want geen hoeveelheid dekodering kry ’n opening terug wat jy nooit opgeneem het nie.

Beperk die opname tot die twee eindpunte en tot UDP 500 en 4500 sodat die lêer klein genoeg bly om te lees. Op ’n besige gasheer begrawe ’n ongefiltreerde opname die onderhandeling onder onverwante verkeer.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Hou die lêer wanneer die poging interessant is, want dieselfde opname beantwoord albei die vrae wat volg: wat die uitruiling was, en of iets teruggekom het. Merk dit met die begintyd en die eindpuntpaar waarop jy gefiltreer het. ’n Opname sonder daardie twee feite is ’n week later nutteloos, wanneer adresse verander het en niemand onthou watter poging dit opgeneem het nie.

Tweedens, lees die kop voor die loonvragte

Die IKE-kop dra die sekuriteitsparameter-indekse, die uitruilingtipe en die boodskap-ID, en op ’n nuwe onderhandeling is daardie waardes kenmerkend. Die inisieerder versin ’n nie-nul SPI, die aanvanklike versoek dra ’n reageerder-SPI van nul omdat nog geen antwoord gesien is nie, die uitruilingtipe is IKE_SA_INIT, en die boodskap-ID is nul. Enigiets anders hoort by ’n latere fase van dieselfde onderhandeling of by heeltemal ’n ander poging.

Die voorstel-, sleuteluitruiling- en nonce-loonvragte in hierdie eerste uitruiling is in die helder leesbaar. Leesbaar is nie geverifieer nie, en op hierdie punt het geen van die twee partye sy identiteit bewys nie.

Die private Diffie-Hellman-waarde steek nooit die draad oor nie, so die opname laat jou nie sessiesleutels aflei nie. Verifikasie gebeur in die volgende uitruiling, beskerm deur wat die eerste een beding het. As iemand vra of ’n party eg is, kan hierdie uitruiling daardie vraag nie beantwoord nie. Dit kan net wys dat albei kante oor ’n voorstel saamgestem het en ’n gedeelde geheim geskep het wat die lêer nie bevat nie.

Derdens, pas die versoek by sy antwoord

Pas op die SPI-paar, die uitruilingtipe en die boodskap-ID, en kyk dan na die antwoordvlag. ’n Heruitsending herhaal die boodskap-ID van die oorspronklike en is nie ’n tweede aanmeldpoging nie. Om pakkette eerder as uitruilings te tel, is hoe ’n gesonde onderhandeling in ’n spooklus verander.

’n Antwoord kan ook ’n weiering wees: ’n koekieversoek, ’n onaanvaarbare groepe-kennisgewing, of ’n fout oor ’n voorstel. Dit is geldige antwoorde, en dit beteken die pad werk terwyl die beleid nie werk nie. Dekodeer die kennisgewing in plaas daarvan om elke antwoord as sukses te beskou. Wanneer die kennisgewing ’n groep of ’n voorstel noem, is die regstelling aan die konfigurasiekant eerder as by die vuurmuur.

Rigting maak ook saak. ’n Versoek sonder antwoord en ’n antwoord wat nooit die kliënt bereik nie, is verskillende foute, en net die tweede een lyk soos ’n kliëntkant-timeout.

Vierdens, skei IKE van alles anders op 4500

Poort 4500 dra drie dinge wat in ’n opsommingsoorsig eenders lyk: IKE agter ’n viergreep-nul-non-ESP-merker, ingekapselde ESP waar die merkerposisie ’n nie-nul SPI hou, en kort keepalives. Daardie merker is wat IKE van ingekapselde ESP skei, so lees daardie grepe voordat jy die verkeer IKE noem. ’n Opnamemerk wat 4500 lees, is ’n poortnommer, nie ’n protokol nie.

Ingekapselde ESP is versleutelde loonvrag wat jy nie sonder sleutels kan interpreteer nie, en sy teenwoordigheid kan die teken van ’n werkende tonnel wees eerder as ’n fout.

Dophou albei poorte vir dieselfde poging, want IKE kan na 4500 skuif ná NAT-opsporing, al het dit op 500 oopgemaak. ’n Spoor wat net op 500 gefiltreer is, lyk stil juis wanneer die onderhandeling geslaag en verskuif het. Verbreed die filter en lees dieselfde tydvenster weer voordat jy enige gevolgtrekking uit afwesigheid maak.

Wat stilte by een waarnemingspunt beteken

Geen antwoord by die kliënt bewys net wat daardie punt waargeneem het. Filtering, aanstuur van verkeer, die verkeerde afgeleë adres, ’n diens wat af is en ’n protokolverskil lewer almal dieselfde leë spoor.

’n Relevante ICMP-unreachable voeg bewyse by, maar lees die aangehaalde pakket daarin en let op die adres van die toestel wat dit gestuur het.

’n Roeteerder se verwerping is ’n ander gebeurtenis as ’n geverifieerde fout wat deur die party teruggegee is, en net die tweede bewys dat die diens lewendig is. Korreleer dieselfde poging met bedienerkant-logboeke of ’n goedgekeurde waarneming om te leer of die versoek aangekom het en of ’n antwoord vertrek het. Hou opnames beperk en privaat, want leesbare handdrukvelde maak nie die res van die lêer onskadelik nie. Die resultaat wat die moeite werd is, is een gepaarde versoek en antwoord, of een gedokumenteerde leemte met ’n genoemde waarnemingspunt.