Kiel legi freŝan interŝanĝon IKE_SA_INIT en registraĵo

Komencu per registraĵo, kiu komenciĝas antaŭ la unua paketo de la provo, alie vi legos la mezon de konversacio. Intertraktado jam kuranta montras ĉifritajn interŝanĝojn kaj ŝlosilajn renovigojn, kaj neniu el la du aspektas kiel la malfermo. La malfermo estas la parto, kiun vi povas malĉifri sen ŝlosiloj, kaj tial ĝi tiel bone respondas demandojn pri atingeblo. Kvar kontroloj laŭorde kondukas vin de freŝa registraĵo al defendebla aserto pri tio, kiu flanko ĉesis paroli.

Unue, konfirmu, ke la registraĵo komenciĝas ĉe la komenco

Registraĵo komencita post kiam la tunelo leviĝis enhavos la enkapsuligitan datuman fluon kaj periodajn keepalive-ojn, kaj ambaŭ estas aŭ ĉifritaj aŭ preskaŭ malplenaj. Restartigu la klienton kaj registru la provon mem, aŭ intence elvoku novan konekton dum la registraĵo funkcias. Se vi ne povas produkti freŝan provon, diru tion en viaj notoj, ĉar neniu kvanto da malĉifrado rekuperas malfermon, kiun vi neniam registris.

Limigu la registraĵon al la du finpunktoj kaj al UDP 500 kaj 4500, por ke la dosiero restu sufiĉe malgranda por legi. Sur okupata gastiganto senfiltra registraĵo entombigas la intertraktadon sub nerilata trafiko.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Konservu la dosieron, kiam la provo estas interesa, ĉar la sama registraĵo respondas ambaŭ sekvajn demandojn: kio estis la interŝanĝo, kaj ĉu io revenis. Etikedu ĝin per la komenca tempo kaj la paro da finpunktoj, laŭ kiuj vi filtris. Registraĵo sen tiuj du faktoj estas senutila semajnon poste, kiam la adresoj ŝanĝiĝis kaj neniu memoras, kiun provon ĝi registris.

Due, legu la kaplinion antaŭ la utilŝarĝoj

La IKE-kaplinia portas la indeksojn de sekurecaj parametroj, la interŝanĝan tipon kaj la mesaĝan ID, kaj ĉe freŝa intertraktado tiuj valoroj estas distingaj. La iniciatinto elpensas SPI diferencan de nulo, la komenca peto portas respondantan SPI de nulo ĉar neniu respondo ankoraŭ vidiĝis, la interŝanĝa tipo estas IKE_SA_INIT, kaj la mesaĝa ID estas nulo. Ĉio alia apartenas al posta stadio de la sama intertraktado aŭ al tute alia provo.

La utilŝarĝoj de propono, ŝlosila interŝanĝo kaj nonce en ĉi tiu unua interŝanĝo estas legeblaj malferme. Legebla ne signifas aŭtentikigita, kaj ĉe tiu ĉi punkto neniu el la du flankoj pruvis sian identecon.

La privata Diffie-Hellman-valoro neniam transiras la draton, do la registraĵo ne permesas al vi derivi sesiajn ŝlosilojn. Aŭtentikigo okazas en la sekva interŝanĝo, protektita per tio, pri kio la unua interkonsentis. Se iu demandas, ĉu kontraŭulo estas aŭtentika, ĉi tiu interŝanĝo ne povas respondi tiun demandon. Ĝi povas nur montri, ke ambaŭ flankoj interkonsentis pri propono kaj produktis komunan sekreton, kiun la dosiero ne enhavas.

Trie, parigu la peton kun ĝia respondo

Parigu laŭ la SPI-paro, la interŝanĝa tipo kaj la mesaĝa ID, poste kontrolu la respondan flagon. Reelsendo ripetas la mesaĝan ID de la originalo kaj ne estas dua ensaluta provo. Nombri paketojn anstataŭ interŝanĝojn estas la maniero, kiel sana intertraktado fariĝas fantoma buklo.

Respondo povas ankaŭ esti rifuzo: kuketa peto, sciigo pri neakceptebla grupo aŭ eraro pri propono. Tiuj estas legitimaj respondoj, kaj ili signifas, ke la vojo funkcias dum la politiko ne funkcias. Malĉifru la sciigon anstataŭ trakti ĉiun respondon kiel sukceson. Kiam la sciigo nomas grupon aŭ proponon, la riparo estas ĉe la agordo kaj ne ĉe la fajroŝirmilo.

Ankaŭ la direkto gravas. Peto sen respondo kaj respondo, kiu neniam atingas la klienton, estas malsamaj paneoj, kaj nur la dua aspektas kiel klienta tempolimo.

Kvare, apartigu IKE de ĉio alia ĉe 4500

Pordo 4500 portas tri aferojn, kiuj aspektas similaj en resuma vido: IKE malantaŭ kvarbajta nula non-ESP-markilo, enkapsuligita ESP, kies markila pozicio tenas SPI diferencan de nulo, kaj mallongaj keepalive-oj. Tiu markilo apartigas IKE de enkapsuligita ESP, do legu tiujn bajtojn antaŭ ol vi nomos la trafikon IKE. Registraĵa etikedo leganta 4500 estas pordnumero, ne protokolo.

Enkapsuligita ESP estas ĉifrita utilŝarĝo, kiun vi ne povas interpreti sen ŝlosiloj, kaj ĝia ĉeesto povas esti la signo de funkcianta tunelo anstataŭ paneo.

Observu ambaŭ pordojn por la sama provo, ĉar IKE povas translokiĝi al 4500 post NAT-detekto kvankam ĝi malfermiĝis ĉe 500. Spuro filtrita nur ĉe 500 aspektas silenta ĝuste kiam la intertraktado sukcesis kaj translokiĝis. Larĝigu la filtrilon kaj relegu la saman tempofenestron antaŭ ol tiri ajnan konkludon el foresto.

Kion signifas silento ĉe unu observa punkto

Neniu respondo ĉe la kliento pruvas nur tion, kion tiu punkto observis. Filtrado, enkursigado, la malĝusta fora adreso, servo, kiu estas mallevita, kaj protokola malkongruo ĉiuj produktas la saman malplenan spuron.

Rilata ICMP unreachable aldonas pruvon, sed legu la cititan paketon ene de ĝi kaj notu la adreson de la aparato, kiu sendis ĝin.

Rifuzo de enkursigilo estas malsama evento ol aŭtentikigita eraro redonita de la kontraŭulo, kaj nur la dua pruvas, ke la servo vivas. Korelatigu la saman provon kun servilaj protokoloj aŭ aprobita observado por lerni, ĉu la peto alvenis kaj ĉu respondo foriris. Tenu registraĵojn limigitaj kaj privataj, ĉar legeblaj manpremaj kampoj ne igas la reston de la dosiero sendanĝera. La rezulto inda estas unu parigita peto kaj respondo, aŭ unu dokumentita breĉo kun nomita observa punkto.