كيف تقرأ تبادل IKE_SA_INIT جديدًا في ملف التقاط

ابدأ من التقاط يبدأ قبل أول حزمة في المحاولة، وإلا فستقرأ وسط محادثة. التفاوض الجاري بالفعل يُظهر تبادلات مشفّرة وإعادة تمديد مفاتيح، ولا يشبه أي منهما الافتتاح. الافتتاح هو الجزء الذي يمكن فكّه دون مفاتيح، ولهذا يجيب عن أسئلة الوصولية بهذه الجودة. أربعة فحوص بالترتيب تنقلك من التقاط جديد إلى عبارة يمكن الدفاع عنها حول الطرف الذي توقف عن الكلام.

أولًا، تأكد أن الالتقاط يبدأ من البداية

الالتقاط الذي يبدأ بعد قيام النفق سيحتوي على تدفق البيانات المُغلَّف ورسائل الإبقاء الدورية، وكلاهما إما مشفّر أو شبه فارغ. أعد تشغيل العميل وسجّل المحاولة نفسها، أو أطلق اتصالًا جديدًا عمدًا أثناء تشغيل الالتقاط. إن لم تستطع إنتاج محاولة جديدة فقل ذلك في ملاحظاتك، لأن أي قدر من فك الترميز لا يستعيد افتتاحًا لم تسجّله قط.

حدّد نطاق الالتقاط عند الطرفين وعند UDP 500 و4500 ليبقى الملف صغيرًا بما يكفي للقراءة. على مضيف مزدحم يدفن الالتقاط غير المفلتر التفاوض تحت حركة غير ذات صلة.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

احتفظ بالملف حين تكون المحاولة مثيرة للاهتمام، لأن الالتقاط نفسه يجيب عن السؤالين التاليين: ما كان التبادل، وهل رجع أي شيء. ضع عليه وقت البدء وزوج الطرفين الذي فلترت عليه. الالتقاط بلا هذين الحقيقتين عديم الفائدة بعد أسبوع، حين تتغير العناوين ولا يتذكر أحد أي محاولة سجّل.

ثانيًا، اقرأ الترويسة قبل الحمولات

ترويسة IKE تحمل مؤشرات معامل الأمان ونوع التبادل ومعرّف الرسالة، وفي تفاوض جديد تكون هذه القيم مميزة. يبتكر البادئ SPI غير صفري، ويحمل الطلب الأولي SPI مستجيب صفريًا لأنه لم يُرَ أي رد بعد، ونوع التبادل هو IKE_SA_INIT، ومعرّف الرسالة صفر. وأي شيء آخر ينتمي إلى مرحلة لاحقة من التفاوض نفسه أو إلى محاولة مختلفة تمامًا.

حمولات الاقتراح وتبادل المفاتيح والـ nonce في هذا التبادل الأول قابلة للقراءة في العلن. كونها مقروءة لا يعني أنها موثّقة، وفي هذه المرحلة لم يثبت أي طرف هويته.

قيمة Diffie-Hellman الخاصة لا تعبر السلك أبدًا، لذا لا يتيح لك الالتقاط اشتقاق مفاتيح الجلسة. المصادقة تحدث في التبادل التالي، محمية بما تفاوض عليه التبادل الأول. إن سأل أحدهم هل الطرف أصيل، فهذا التبادل لا يستطيع الإجابة عن ذلك السؤال. يمكنه فقط أن يُظهر أن الطرفين اتفقا على اقتراح وأنتجا سرًا مشتركًا لا يحتويه الملف.

ثالثًا، طابق الطلب مع ردّه

طابق على زوج SPI ونوع التبادل ومعرّف الرسالة، ثم افحص علم الرد. إعادة الإرسال تكرر معرّف الرسالة الأصلي وليست محاولة دخول ثانية. عدّ الحزم بدل التبادلات هو ما يحوّل تفاوضًا سليمًا إلى حلقة وهمية.

قد يكون الرد رفضًا أيضًا: طلب كعكة، أو إشعار مجموعة غير مقبولة، أو خطأ بشأن اقتراح. هذه إجابات مشروعة، وتعني أن المسار يعمل بينما السياسة لا تعمل. فكّ الإشعار بدل معاملة كل رد كنجاح. وحين يسمّي الإشعار مجموعة أو اقتراحًا، يكون الإصلاح في جانب التهيئة لا عند الجدار الناري.

الاتجاه مهم أيضًا. الطلب بلا رد والرد الذي لا يصل إلى العميل عطلان مختلفان، والثاني فقط يبدو كمهلة من جهة العميل.

رابعًا، افصل IKE عمّا سواه على 4500

يحمل المنفذ 4500 ثلاثة أشياء تبدو متشابهة في عرض موجز: IKE خلف علامة non-ESP صفرية من أربعة بايتات، وESP مغلّف يحمل موضع علامته SPI غير صفري، ورسائل إبقاء قصيرة. تلك العلامة هي ما يفصل IKE عن ESP المغلّف، لذا اقرأ تلك البايتات قبل أن تسمّي الحركة IKE. تسمية التقاط تقرأ 4500 هي رقم منفذ، لا بروتوكول.

ESP المغلّف حمولة مشفّرة لا يمكنك تفسيرها دون مفاتيح، ووجوده قد يكون علامة نفق عامل لا عطلًا.

راقب المنفذين للمحاولة نفسها، لأن IKE قد ينتقل إلى 4500 بعد كشف NAT رغم أنه افتُتح على 500. الأثر المفلتر على 500 وحده يبدو صامتًا بالضبط حين ينجح التفاوض وينتقل. وسّع الفلتر وأعد قراءة النافذة الزمنية نفسها قبل استخلاص أي نتيجة من الغياب.

ماذا يعني الصمت عند نقطة مراقبة واحدة

لا رد عند العميل يثبت فقط ما لاحظته تلك النقطة. الفلترة والتوجيه والعنوان البعيد الخاطئ وخدمة متوقفة وعدم توافق بروتوكول كلها تنتج الأثر الفارغ نفسه.

إضافة ICMP unreachable ذات صلة تقدّم دليلًا، لكن اقرأ الحزمة المقتبسة داخلها ولاحظ عنوان الجهاز الذي أرسلها.

رفض الموجّه حدث مختلف عن خطأ موثّق يعيده الطرف، والثاني وحده يثبت أن الخدمة حيّة. اربط المحاولة نفسها بسجلات الخادم أو بمراقبة معتمدة لتعرف هل وصل الطلب وهل خرج رد. أبقِ الالتقاطات محدودة النطاق وخاصة، لأن حقول المصافحة المقروءة لا تجعل بقية الملف غير مؤذية. النتيجة الجديرة هي طلب ورد متطابقان، أو فجوة موثّقة بنقطة مراقبة مسمّاة.