Kuidas lugeda värsket IKE_SA_INIT-vahetust salvestusest

Alustage salvestusest, mis algab enne katse esimest paketti, muidu loete vestluse keskkohta. Juba käiv läbirääkimine näitab krüptitud vahetusi ja võtmete uuendamist ning kumbki ei meenuta avamist. Avamine on osa, mille saab võtmeteta dekodeerida, ja seetõttu vastab see kättesaadavuse küsimustele nii hästi. Neli kontrolli järjekorras viivad teid värskest salvestusest kaitsva väiteni selle kohta, kumb pool rääkimise lõpetas.

Esiteks veenduge, et salvestus algab algusest

Pärast tunnelitõstmist alanud salvestus sisaldab kapseldatud andmevoo ja perioodilised keepalive'id ning mõlemad on kas krüptitud või peaaegu tühjad. Taaskäivitage klient ja salvestage katse ise või käivitage salvestuse ajal meelega uus ühendus. Kui te ei suuda värsket katset luua, kirjutage see märkmetesse, sest ükski dekodeerimine ei taasta avamist, mida te kunagi ei salvestanud.

Piirake salvestus kahe lõpp-punkti ning UDP 500 ja 4500-ga, et fail jääks lugemiseks piisavalt väikeseks. Koormatud hostis matab filtreerimata salvestus läbirääkimise kõrvalise liikluse alla.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Hoidke fail alles, kui katse on huvitav, sest sama salvestus vastab mõlemale järgnevale küsimusele: mis vahetus oli ja kas midagi tagasi tuli. Märgistage see algusaja ja lõpp-punktide paariga, mille järgi filtreerisite. Ilma nende kahe andmeta on salvestus nädala pärast kasutu, kui aadressid on muutunud ja keegi ei mäleta, millist katset see salvestas.

Teiseks lugege päist enne kasulikku koormust

IKE päis kannab turbeparameetrite indekseid, vahetuse tüüpi ja sõnumi ID-d ning värskel läbirääkimisel on need väärtused eristatavad. Algataja mõtleb välja nullist erineva SPI, algne päring kannab vastaja SPI-d null, sest vastust pole veel nähtud, vahetuse tüüp on IKE_SA_INIT ja sõnumi ID on null. Kõik muu kuulub sama läbirääkimise hilisemasse etappi või hoopis teisele katsele.

Selle esimese vahetuse ettepaneku, võtmevahetuse ja nonce'i koormus on loetav avatud kujul. Loetav ei tähenda autenditud ning selles punktis ei ole kumbki pool oma identiteeti tõestanud.

Privaatne Diffie-Hellmani väärtus ei ületa kunagi juhet, seega ei võimalda salvestus teil seansi võtmeid tuletada. Autentimine toimub järgmises vahetuses, kaitstuna sellega, mille esimene läbi rääkis. Kui keegi küsib, kas vastaspool on ehtne, ei suuda see vahetus sellele küsimusele vastata. See saab näidata vaid seda, et mõlemad pooled leppisid ettepanekus kokku ja lõid ühise saladuse, mida fail ei sisalda.

Kolmandaks sobitage päring selle vastusega

Sobitage SPI paari, vahetuse tüübi ja sõnumi ID järgi, seejärel kontrollige vastuse lippu. Kordussaade kordab originaali sõnumi ID-d ega ole teine sisselogimiskatse. Pakettide lugemine vahetuste asemel on viis, kuidas terve läbirääkimine muutub fantoomtsükliks.

Vastus võib olla ka keeldumine: küpsise päring, vastuvõetamatu grupi teade või viga ettepaneku kohta. Need on legitiimsed vastused ja tähendavad, et tee töötab, samal ajal kui poliitika ei tööta. Dekodeerige teade, selle asemel et pidada iga vastust õnnestumiseks. Kui teade nimetab gruppi või ettepanekut, on parandus konfiguratsiooni poolel, mitte tulemüüris.

Suund on samuti oluline. Vastuseta päring ja vastus, mis ei jõua kunagi kliendini, on erinevad rikked ning ainult teine näeb välja nagu kliendipoolne aegumine.

Neljandaks eraldage IKE kõigest muust pordil 4500

Port 4500 kannab kolme asja, mis kokkuvõtvas vaates näevad sarnased: IKE neljabaidise nullilise non-ESP-markeriga, kapseldatud ESP, mille markeri asendis on nullist erinev SPI, ja lühikesed keepalive'id. Just see marker eraldab IKE kapseldatud ESP-st, seega lugege need baidid enne, kui nimetate liikluse IKE-ks. Salvestuse silt, mis loeb 4500, on pordi number, mitte protokoll.

Kapseldatud ESP on krüptitud koormus, mida te ei saa ilma võtmeteta tõlgendada, ja selle olemasolu võib olla töötava tunneli märk, mitte rike.

Jälgige mõlemat porti sama katse jaoks, sest IKE võib pärast NAT-i tuvastamist liikuda 4500-le, kuigi avanes 500-l. Ainult 500-l filtreeritud jälg näeb vaikne välja täpselt siis, kui läbirääkimine õnnestus ja kohta vahetas. Laiendage filtrit ja lugege sama ajavahemikku uuesti, enne kui teete puudumisest mingi järelduse.

Mida tähendab vaikus ühes vaatluspunktis

Vastuse puudumine kliendi juures tõestab ainult seda, mida see punkt vaatles. Filtreerimine, marsruutimine, vale kaugemaadress, maas olev teenus ja protokolli lahknevus annavad kõik sama tühja jälje.

Asjakohane ICMP unreachable lisab tõendit, kuid lugege selle sees tsiteeritud paketti ja märkige üles seadme aadress, mis selle saatis.

Ruuteri keeldumine on erinev sündmus kui vastaspoole tagastatud autenditud viga, ja ainult teine tõestab, et teenus on elus. Korreleerige sama katset serveri logide või heakskiidetud vaatlusega, et teada saada, kas päring saabus ja kas vastus väljus. Hoidke salvestused piiratud ja privaatsed, sest loetavad käepigistuse väljad ei muuda faili ülejäänut kahjutuks. Tulemus, mida tasub hoida, on üks sobitatud päring ja vastus või üks dokumenteeritud lünk nimetatud vaatluspunktiga.