Paket tutumunda ilk IKEv2 mübadiləsini necə oxumaq olar

Sessiya ortasında götürülən tutumlar IKEv2 izinin səs-küy kimi görünməsinin adi səbəbidir, çünki yazı başlayanda tərəflər artıq açarları yeniləyir və ya şifrələnmiş yükləri mübadilə edir. Əvəzinə yeni bir bağlantı cəhdindən başlayın, belə ki, fayldakı ilk mesaj danışıqları açan mesaj olsun. Aşağıdakı oxuma qaydası bunu fərz edir və paketin qarşı tərəf haqqında heç nə sübut etmədiyi nöqtəni qeyd edir. Bu addımı atlamaq, işləyən tunelin bağlanmış port kimi diaqnoz qoyulmasına gətirib çıxarır.

Açılış mübadiləsinə baxdığınızı təsdiqləyin

IKEv2 danışığı IKE_SA_INIT ilə, 34 mübadilə tipi və 0 mesaj ID-si ilə başlayır. Təşəbbüskar sıfırdan fərqli SPI seçir, cavabdehin SPI-si isə həmin ilk sorğuda sıfır, cavabda sıfırdan fərqlidir. Bu üç fakt yeni cəhdi açar yeniləməsindən və ya tutumun ən başında təsadüfən duran IKE_AUTH mesajından ayırır.

Başlıq sahələri oxunaqlıdır, təklif, açar mübadiləsi və nonce yükləri də. Oxunaqlı olmaq autentifikasiya olunmaq demək deyil: bu mərhələdə heç bir tərəf şəxsiyyətini sübut etməyib və Diffie-Hellman məxfi dəyəri heç vaxt naqildə görünmür.

Sahələri dekodlaşdırma panelində sürüşdürmək əvəzinə cədvəl kimi çap edin, çünki təkrar ötürmələr və uyğun gəlməyən SPI-lər sütunlarda aydın görünür.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Çıxışı cütlərlə oxuyun. 0 mesaj ID-li sorğudan sonra eyni ID-ni və sıfırdan fərqli cavabdeh SPI-sini daşıyan cavab bir mübadilədir, hətta sorğu təkrar ötürüldüyü üçün üç dəfə görünsə də. Üç eyni sorğu üç giriş deyil və onları belə saymaq, müştərinin sadəcə səbirli olduğu halda dövrə vurduğu qənaətinə gəlməyin yoludur. Mesaj ID-sinə, sonra zaman damğasına görə sıralayın və bütün söhbət qısa bir cəhdlər siyahısına çevrilir.

Uğuru oxumazdan əvvəl rəddi oxuyun

Cavab avtomatik irəliləyiş deyil. Cavabdeh ya cookie bildirişi ilə cavab verib təşəbbüskardan yenidən cəhd etməyi gözləyə bilər, ya da əvəzində qəbul edəcəyi qrupu göstərən INVALID_KE_PAYLOAD ilə. Hər ikisi düzgün qurulmuş IKE mesajları kimi gəlir və yalnız paket sayan filtr üçün hər ikisi bitmiş mübadilə kimi görünür.

Bildiriş yükünü açın və hər şeydən əvvəl tipini oxuyun. Cookie çağırışı cavabdehin saxtalaşdırılmış mənbə ünvanlarından müdafiə olunduğunu bildirir və müştəri cookie-ni əlavə edərək yenidən göndərməlidir. Yanlış qrup iki təklifin uyğun gəlmədiyini bildirir və bir tərəfin konfiqurasiyası dəyişməyincə heç bir təkrar cəhd bunu dəyişməyəcək.

Yalnız IKE_AUTH, yəni ikinci mübadilə, şifrələnmiş şəxsiyyəti və autentifikasiya yüklərini daşıyır. Beləliklə, tamamlanmış IKE_SA_INIT tərəflərin alqoritmlər və törəmə açarlar barədə razılaşdığını bildirir və etimad məlumatlarının qəbul edilib-edilməyəcəyi barədə heç nə demir. Orada da iki mesaj gözləyin və hər ikisinin sessiya açarları olmadan qeyri-şəffaf olacağını gözləyin.

4500 portu tək protokol deyil

Açılış mübadiləsini adətən UDP 500 daşıyır. NAT aşkarlanması işlədikdən sonra IKE 4500-ə keçir və hər mesajın əvvəlinə dörd baytlıq sıfır non-ESP markeri qoyur. Həmin portda kapsullanmış ESP isə sıfırdan fərqli ESP SPI ilə başlayır və bir baytlıq NAT keepalive başqa heç nə baş vermədikdə ortaya çıxan üçüncü formadır.

Yalnız portu uyğunlaşdıran filtr hər üçünü qarışdırır, buna görə də "4500-də trafik var" ifadəsi çox az şey həll edir. Qarşı tərəf haqqında nəticə çıxarmazdan əvvəl görünüşü protokola görə ayırın.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Səssizlik müşahidə nöqtəsini təsvir edir

Cavabsız sorğular tam olaraq bir şeyi sübut edir: həmin tutum nöqtəsində heç bir cavab görünmədi. Filtrləmə, cavabı başqa yerə göndərən marşrut, əlçatmaz cavabdeh və ya təklifi bəyənməyən cavabdeh hamısı eyni boş nəticəni verir və ümumi UDP yoxlaması onları ayırmayacaq.

ICMP əlçatmazlığı başqa cür sübutdur. İçindəki sitat gətirilmiş paketi oxuyun və onu hansı cihazın buraxdığını müəyyənləşdirin, çünki marşrutlaşdırıcının inzibati rəddi qarşı tərəfdən gələn autentifikasiya olunmuş xəta deyil.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Eyni cəhdi oxumağa icazə verilən yerlərdə server tərəfli qeydlərlə əlaqələndirin. Sorğu gəldi, xidmət cavab verdi və cavab harada dayandı? Bu üç cavab sizi yol probleminə və ya siyasət probleminə yönəldir və etimad məlumatlarını dördüncü dəfə dəyişməkdən daha az başa gəlir.