Yeni IKE_SA_INIT mübadiləsini qeyddə necə oxumaq olar

Cəhdin ilk paketindən əvvəl başlayan qeyddən başlayın, əks halda söhbətin ortasını oxuyacaqsınız. Artıq işləyən danışıq şifrələnmiş mübadilələr və açar yeniləmələri göstərir və heç biri açılışa bənzəmir. Açılış açarlar olmadan deşifrə edə bildiyiniz hissədir, buna görə əlçatanlıq suallarını bu qədər yaxşı cavablandırır. Sıra ilə dörd yoxlama sizi təzə qeyddən hansı tərəfin danışığı dayandırdığına dair müdafiə oluna bilən ifadəyə aparır.

Birinci, qeydin əvvəldən başladığını təsdiqləyin

Tunel qalxdıqdan sonra başlayan qeyd inkapsulyasiya olunmuş məlumat axınını və dövri keepalive-ları ehtiva edəcək, ikisi də ya şifrəlidir, ya da demək olar ki boşdur. Müştərini yenidən başladın və cəhdin özünü qeyd edin, ya da qeyd işləyərkən bilərəkdən təzə bağlantı yaradın. Təzə cəhd yarada bilmirsinizsə, bunu qeydlərinizdə yazın, çünki heç bir deşifrə heç vaxt yazmadığınız açılışı geri qaytarmır.

Qeydi iki son nöqtə ilə UDP 500 və 4500-ə məhdudlaşdırın ki, fayl oxunacaq qədər kiçik qalsın. Məşğul hostda filtrsiz qeyd danışığı əlaqəsiz trafikin altında basdırır.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Cəhd maraqlı olduqda faylı saxlayın, çünki eyni qeyd sonrakı iki suala cavab verir: mübadilə nə idi və geri nəsə gəldimi. Onu başlama vaxtı və filtr etdiyiniz son nöqtə cütü ilə etiketləyin. Bu iki fakt olmadan qeyd bir həftə sonra faydasızdır, o vaxt ünvanlar dəyişib və heç kim hansı cəhdin yazıldığını xatırlamır.

İkinci, başlığı yüklərdən əvvəl oxuyun

IKE başlığı təhlükəsizlik parametri indekslərini, mübadilə növünü və mesaj ID-sini daşıyır və təzə danışıqda bu dəyərlər fərqləndiricidir. Təşəbbüskar sıfırdan fərqli SPI uydurur, ilkin sorğu sıfır cavabverən SPI daşıyır, çünki hələ cavab görünməyib, mübadilə növü IKE_SA_INIT-dir, və mesaj ID-si sıfırdır. Başqa hər şey eyni danışığın sonrakı mərhələsinə və ya tamamilə fərqli cəhdə aiddir.

Bu ilk mübadilədəki təklif, açar mübadiləsi və nonce yükləri açıq şəkildə oxunur. Oxunaqlıq autentifikasiya deyil və bu mərhələdə heç bir tərəf öz kimliyini sübut etməyib.

Şəxsi Diffie-Hellman dəyəri heç vaxt naqildən keçmir, buna görə qeyd sizə sessiya açarlarını çıxarmağa imkan vermir. Autentifikasiya növbəti mübadilədə baş verir, birincinin razılaşdırdığı ilə qorunur. Kimsə həmsöhbətin həqiqi olub-olmadığını soruşsa, bu mübadilə o suala cavab verə bilməz. Yalnız onu göstərə bilər ki, hər iki tərəf təklif barədə razılaşıb və faylda olmayan ortaq sirr yaradıb.

Üçüncü, sorğunu cavabı ilə uyğunlaşdırın

SPI cütü, mübadilə növü və mesaj ID-si üzrə uyğunlaşdırın, sonra cavab bayrağını yoxlayın. Yenidən göndərmə orijinalın mesaj ID-sini təkrarlayır və ikinci giriş cəhdi deyil. Paketləri mübadilələr yerinə saymaq sağlam danışığı xəyal dövrəyə çevirən yoldur.

Cavab imtina da ola bilər: kuki sorğusu, qəbuledilməz qrup bildirişi və ya təkliflə bağlı xəta. Bunlar qanuni cavablardır və yolun işlədiyini, siyasətin işləmədiyini bildirir. Hər cavabı uğur saymaq yerinə bildirişi deşifrə edin. Bildiriş qrup və ya təklif adlandırdıqda düzəliş firewall-da deyil, konfiqurasiya tərəfindədir.

İstiqamət də vacibdir. Cavabsız sorğu və müştəriyə heç çatmayan cavab fərqli nasazlıqlardır və yalnız ikincisi müştəri tərəfli timeout kimi görünür.

Dördüncü, 4500-də IKE-ni qalan hər şeydən ayırın

4500 portu icmal görünüşündə oxşar görünən üç şey daşıyır: dörd baytlıq sıfır non-ESP markeri arxasında IKE, marker mövqeyində sıfırdan fərqli SPI saxlayan inkapsulyasiya olunmuş ESP və qısa keepalive-lar. IKE-ni inkapsulyasiya olunmuş ESP-dən ayıran həmin markerdir, ona görə trafiki IKE adlandırmazdan əvvəl o baytları oxuyun. 4500 oxuyan qeyd etiketi protokol deyil, port nömrəsidir.

İnkapsulyasiya olunmuş ESP açarlar olmadan şərh edə bilmədiyiniz şifrələnmiş yükdür və onun varlığı nasazlıq deyil, işləyən tunelin əlaməti ola bilər.

Eyni cəhd üçün hər iki portu izləyin, çünki IKE 500-də açılsa da NAT aşkarlanmasından sonra 4500-ə keçə bilər. Yalnız 500 üzrə filtrlənmiş iz məhz danışıq uğurlu olub yerini dəyişəndə səssiz görünür. Filtri genişləndirin və yoxluqdan nəticə çıxarmazdan əvvəl eyni zaman pəncərəsini yenidən oxuyun.

Bir müşahidə nöqtəsində səssizliyin mənası

Müştəridə cavabın olmaması yalnız həmin nöqtənin müşahidə etdiyini sübut edir. Filtrləmə, marşrutlaşdırma, səhv uzaq ünvan, dayanmış xidmət və protokol uyğunsuzluğu hamısı eyni boş izi yaradır.

Müvafiq ICMP unreachable dəlil əlavə edir, lakin içindəki sitat gətirilmiş paketi oxuyun və onu göndərən cihazın ünvanını qeyd edin.

Marşrutlaşdırıcının rəddi həmsöhbətin qaytardığı autentifikasiya olunmuş xətadan fərqli hadisədir və yalnız ikincisi xidmətin canlı olduğunu sübut edir. Eyni cəhdi server jurnalları və ya təsdiqlənmiş müşahidə ilə əlaqələndirin ki, sorğunun gəlib-gəlmədiyini və cavabın çıxıb-çıxmadığını biləsiniz. Qeydləri məhdud və məxfi saxlayın, çünki oxunaqlı əl sıxma sahələri faylın qalanını zərərsiz etmir. Dəyərli nəticə uyğunlaşdırılmış bir sorğu və cavab, ya da adlandırılmış müşahidə nöqtəsi olan bir sənədləşdirilmiş boşluqdur.