Sut i ddarllen y cyfnewidiad IKEv2 cyntaf mewn cipiad pecynnau

Cipiadau a gymerir yng nghanol sesiwn yw'r rheswm arferol pam mae ôl IKEv2 yn edrych fel sŵn, oherwydd mae'r naill ochr a'r llall eisoes yn adnewyddu allweddi neu'n cyfnewid llwythi wedi'u hamgryptio pan fydd y recordiad yn dechrau. Dechreuwch â chynnig cysylltiad newydd yn lle hynny, fel mai'r neges gyntaf yn y ffeil yw'r un sy'n agor y trafodaethau. Mae'r drefn ddarllen isod yn tybio hynny, ac mae'n nodi'r pwynt lle mae pecyn yn peidio â phrofi unrhyw beth am y pen pell. Neidio'r cam hwnnw yw sut y caiff tiwnel sy'n gweithio ei ddiagnosio fel porthladd wedi'i rwystro.

Cadarnhewch eich bod yn edrych ar y cyfnewidiad agoriadol

Mae trafodaeth IKEv2 yn dechrau gyda IKE_SA_INIT, math cyfnewid 34, ID neges 0. Mae'r cychwynnydd yn dewis SPI nad yw'n sero, ac mae SPI'r atebydd yn sero yn y cais cyntaf hwnnw ac yn ansero yn yr ateb. Mae'r tri ffaith hynny'n gwahanu cynnig newydd oddi wrth adnewyddiad allweddi neu oddi wrth neges IKE_AUTH sy'n digwydd bod ar frig cipiad.

Mae meysydd y pennawd yn ddarllenadwy, ac felly hefyd lwythi'r cynnig, y cyfnewid allweddi a'r nonce. Nid yw darllenadwy yn golygu wedi'i ddilysu: nid yw'r naill ochr na'r llall wedi profi pwy ydyw ar y pwynt hwn, ac nid yw gwerth preifat Diffie-Hellman byth yn ymddangos ar y wifren.

Argraffwch y meysydd fel tabl yn hytrach na sgrolio panel dadgodio, oherwydd mae ail-drosglwyddiadau ac SPIs nad ydynt yn cyfateb yn amlwg mewn colofnau.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Darllenwch yr allbwn yn barau. Cais ag ID neges 0 ac ateb yn cario'r un ID a SPI atebydd ansero yw un cyfnewidiad, hyd yn oed pan fo'n ymddangos deirgwaith oherwydd ail-drosglwyddwyd y cais. Nid yw tri chais unfath yn dri mewngofnod, a thrin nhw felly yw sut mae pobl yn dod i'r casgliad bod cleient yn troelli pan nad yw ond yn amyneddgar. Trefnwch yn ôl ID neges, yna yn ôl stamp amser, a bydd yr holl sgwrs yn cwympo i restr fer o geisiadau.

Darllenwch wrthodiad cyn darllen llwyddiant

Nid yw ateb yn gynnydd awtomatig. Gall yr atebydd ateb â hysbysiad cookie a disgwyl i'r cychwynnydd geisio eto, neu ag INVALID_KE_PAYLOAD yn enwi grŵp y byddai'n ei dderbyn yn lle hynny. Daw'r ddau fel negeseuon IKE wedi'u ffurfio'n iawn, ac mae'r ddau yn edrych fel cyfnewidiad gorffenedig i hidlydd sy'n cyfrif pecynnau yn unig.

Agorwch lwyth yr hysbysiad a darllenwch y math cyn unrhyw beth arall. Mae her cookie yn golygu bod yr atebydd yn amddiffyn ei hun rhag cyfeiriadau ffynhonnell wedi'u ffugio, a rhaid i'r cleient ail-anfon gyda'r cookie ynghlwm. Mae grŵp annilys yn golygu nad yw'r ddau gynnig yn cytuno, ac ni fydd unrhyw faint o ailgeisio yn newid hynny nes i ffurfweddiad un ochr symud.

Dim ond IKE_AUTH, yr ail gyfnewidiad, sy'n cario'r hunaniaeth wedi'i hamgryptio a'r llwythi dilysu. Felly mae IKE_SA_INIT wedi'i gwblhau yn dweud wrthych fod yr ochrau'n cytuno ar algorithmau ac allweddi deilliedig, ac yn dweud dim o gwbl am ba un a fydd yr ymrwymiadau'n cael eu derbyn. Disgwyliwch ddau neges yno hefyd, a disgwyliwch i'r ddau fod yn annelwig heb allweddi'r sesiwn.

Nid un protocol yw porthladd 4500

UDP 500 sy'n cario'r cyfnewidiad agoriadol fel arfer. Unwaith y bydd canfod NAT wedi rhedeg, mae IKE yn symud i 4500 ac yn rhoi marciwr pedwar beit o sero nad yw'n ESP o flaen pob neges. Mae ESP wedi'i amgáu ar yr un porthladd yn dechrau ag SPI ESP ansero yn lle hynny, ac mae keepalive NAT un beit yn drydedd siâp sy'n ymddangos pan nad oes dim arall yn digwydd.

Mae hidlydd sy'n cyfateb i'r porthladd yn unig yn cymysgu'r tri, a dyna pam mae "mae traffig ar 4500" yn setlo cyn lleied. Rhannwch y golygfa yn ôl protocol cyn i chi ddod i unrhyw gasgliad am y pen pell.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Mae distawrwydd yn disgrifio'r pwynt arsylwi

Mae ceisiadau heb atebion yn sefydlu un peth yn union: yn y pwynt cipio hwnnw, ni ymddangosodd unrhyw ateb. Mae hidlo, llwybr sy'n anfon yr ateb i rywle arall, atebydd na ellir ei gyrraedd, neu atebydd nad yw'n hoffi'r cynnig i gyd yn cynhyrchu'r un canlyniad gwag, ac ni fydd archwiliad UDP cyffredinol yn eu gwahanu.

Mae ICMP anghyrraeddadwy yn dystiolaeth o fath gwahanol. Darllenwch y pecyn a ddyfynnir ynddo a nodwch pa ddyfais a'i gollyngodd, oherwydd nid yw gwrthodiad gweinyddol llwybrydd yn wall dilysiedig gan y pen pell.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Cydberthynwch yr un cynnig â chofnodion ochr y gweinydd lle caniateir i chi eu darllen. A gyrhaeddodd y cais, a atebodd y gwasanaeth, a ble y stopiodd yr ateb? Mae'r tri ateb hynny'n eich anfon at broblem llwybr neu at broblem polisi, ac maent yn costio llai na throelli ymrwymiadau am y pedwerydd tro.