Sut i ddarllen cyfnewid IKE_SA_INIT newydd mewn ffeil cipio

Dechreuwch o gipiad sy’n dechrau cyn pacyn cyntaf yr ymgais, neu byddwch yn darllen canol sgwrs. Mae trafodaeth sydd eisoes yn rhedeg yn dangos cyfnewidiadau wedi’u hamgryptio ac ail-allweddu, ac nid yw’r naill na’r llall yn edrych fel yr agoriad. Yr agoriad yw’r rhan y gallwch ei dadgodio heb allweddi, a dyna pam mae’n ateb cwestiynau cyrhaeddiad mor dda. Mae pedwar gwiriad yn eu trefn yn mynd â chi o gipiad newydd i ddatganiad amddiffynadwy ynglŷn â pha ochr a beidiodd â siarad.

Yn gyntaf, cadarnhewch fod y cipiad yn dechrau ar y dechrau

Bydd cipiad a gychwynnwyd ar ôl i’r twnnel godi yn cynnwys y ffrwd ddata a amgylchynwyd a keepalive cyfnodol, ac mae’r ddau naill ai wedi’u hamgryptio neu bron yn wag. Ailgychwynnwch y cleient a chofnodwch yr ymgais ei hun, neu sbardunwch gysylltiad newydd yn fwriadol tra bo’r cipiad yn rhedeg. Os na allwch gynhyrchu ymgais newydd, dywedwch hynny yn eich nodiadau, oherwydd nid yw unrhyw faint o ddadgodio yn adfer agoriad na chofnodwyd gennych erioed.

Cyfyngwch y cipiad i’r ddau ben a i UDP 500 a 4500 fel bod y ffeil yn aros yn ddigon bach i’w darllen. Ar westeiwr prysur mae cipiad heb hidlydd yn claddu’r drafodaeth o dan draffig di-fudd.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Cadwch y ffeil pan fo’r ymgais yn ddiddorol, oherwydd mae’r un cipiad yn ateb y ddau gwestiwn sy’n dilyn: beth oedd y cyfnewid, ac a ddaeth unrhyw beth yn ôl. Llabelech hi â’r amser cychwyn a’r pâr o bennau y gwnaethoch hidlo arnynt. Mae cipiad heb y ddwy ffaith hynny yn ddiwerth wythnos yn ddiweddarach, pan fydd cyfeiriadau wedi newid a neb yn cofio pa ymgais a gofnodwyd.

Yn ail, darllenwch y pennawd cyn y llwythi

Mae pennawd IKE yn cario’r mynegeion paramedr diogelwch, math y cyfnewid ac ID y neges, ac mewn trafodaeth newydd mae’r gwerthoedd hynny’n nodweddiadol. Mae’r cychwynnydd yn dyfeisio SPI nad yw’n sero, mae’r cais cychwynnol yn cario SPI ymatebydd o sero oherwydd ni welwyd ateb eto, math y cyfnewid yw IKE_SA_INIT, ac mae ID y neges yn sero. Mae unrhyw beth arall yn perthyn i gam diweddarach o’r un drafodaeth neu i ymgais hollol wahanol.

Mae llwythi cynnig, cyfnewid allweddi a nonce yn y cyfnewid cyntaf hwn yn ddarllenadwy yn glir. Nid yw darllenadwy yn golygu dilysu, ac ar y pwynt hwn nid yw’r naill ochr na’r llall wedi profi ei hunaniaeth.

Nid yw gwerth preifat Diffie-Hellman byth yn croesi’r wifren, felly nid yw’r cipiad yn gadael i chi ddeillio allweddi sesiwn. Mae dilysu yn digwydd yn y cyfnewid nesaf, wedi’i warchod gan yr hyn a drafododd yr un cyntaf. Os bydd rhywun yn gofyn a yw partner yn ddilys, ni all y cyfnewid hwn ateb y cwestiwn hwnnw. Gall ond dangos bod y ddwy ochr wedi cytuno ar gynnig ac wedi cynhyrchu cyfrinach a rannwyd nad yw’r ffeil yn ei chynnwys.

Yn drydydd, parwch y cais â’i ateb

Parwch ar y pâr SPI, math y cyfnewid ac ID y neges, yna gwiriwch y faner ateb. Mae ail-drosglwyddiad yn ailadrodd ID neges y gwreiddiol ac nid yw’n ail ymgais fewngofnodi. Cyfrif pecynnau yn lle cyfnewidiadau yw sut mae trafodaeth iach yn troi’n ddolen ffantasi.

Gall ateb hefyd fod yn wrthodiad: cais cwci, hysbysiad grŵp annerbyniol, neu wall ynghylch cynnig. Mae’r rhain yn atebion dilys, ac maent yn golygu bod y llwybr yn gweithio tra nad yw’r polisi yn gweithio. Dadgodiwch yr hysbysiad yn lle trin pob ateb fel llwyddiant. Pan fydd yr hysbysiad yn enwi grŵp neu gynnig, mae’r atgyweiriad ar ochr y ffurfweddiad yn hytrach nag wrth y mur tân.

Mae cyfeiriad yn bwysig hefyd. Mae cais heb ateb ac ateb na chyrhaedda’r cleient byth yn fethiannau gwahanol, a dim ond yr ail sy’n edrych fel terfyn amser ar ochr y cleient.

Yn bedwerydd, gwahaniaethwch IKE oddi wrth bopeth arall ar 4500

Mae porth 4500 yn cario tri pheth sy’n edrych yn debyg mewn golwg gryno: IKE y tu ôl i farciwr non-ESP sero pedair-bait, ESP amgylchynedig y mae ei safle marciwr yn dal SPI nad yw’n sero, a keepalive byr. Y marciwr hwnnw sy’n gwahanu IKE oddi wrth ESP amgylchynedig, felly darllenwch y beitiau hynny cyn labelu’r traffig yn IKE. Mae label cipiad sy’n darllen 4500 yn rhif porth, nid yn brotocol.

Mae ESP amgylchynedig yn llwyth wedi’i amgryptio na allwch ei ddehongli heb allweddi, ac efallai bod ei bresenoldeb yn arwydd o dwnnel sy’n gweithio yn hytrach nag yn fethiant.

Gwyliwch y ddau borth ar gyfer yr un ymgais, oherwydd gall IKE symud i 4500 ar ôl canfod NAT er iddo agor ar 500. Mae ôl wedi’i hidlo ar 500 yn unig yn edrych yn dawel yn union pan fydd y drafodaeth wedi llwyddo ac wedi symud. Ehangu’r hidlydd ac ail-ddarllenwch yr un ffenestr amser cyn tynnu unrhyw gasgliad o absenoldeb.

Beth mae distawrwydd ar un pwynt arsylwi yn ei olygu

Nid yw dim ateb wrth y cleient yn profi dim ond yr hyn a arsylwodd y pwynt hwnnw. Mae hidlo, llwybro, y cyfeiriad pell anghywir, gwasanaeth sydd i lawr ac anghytundeb protocol i gyd yn cynhyrchu’r un ôl wag.

Mae ICMP unreachable perthnasol yn ychwanegu tystiolaeth, ond darllenwch y pecyn a ddyfynnir ynddo a nodwch gyfeiriad y ddyfais a’i hanfonodd.

Mae gwrthodiad llwybrydd yn ddigwyddiad gwahanol i wall dilys a ddychwelwyd gan y partner, a dim ond yr ail sy’n profi bod y gwasanaeth yn fyw. Cydberthnwch yr un ymgais â logiau’r gweinydd neu arsylwi a gymeradwywyd i ddysgu a gyrhaeddodd y cais ac a aeth ateb allan. Cadwch gipiadau’n gyfyngedig ac yn breifat, oherwydd nid yw meysydd ysgwyd llaw darllenadwy yn gwneud gweddill y ffeil yn ddiniwed. Y canlyniad sy’n werth ei gael yw un cais ac ateb wedi’u paru, neu un bwlch wedi’i ddogfennu gyda phwynt arsylwi a enwir.