Nola irakurri lehen IKEv2 trukea pakete-kaptura batean

Saioaren erdialdean egindako kapturak dira IKEv2 arrasto bat zarata bezala agertzeko ohiko arrazoia, grabaketa hasten denean aldeak jada gakoak berritzen edo zama zifratuak trukatzen ari baitira. Hasi, horren ordez, konexio-saiakera berri batekin, fitxategiko lehen mezua negoziazioa irekitzen duena izan dadin. Jarraiko irakurketa-ordenak hori suposatzen du, eta pakete batek urruneko alderdiari buruz ezer frogatzeari uzten dion puntua markatzen du. Urrats hori saltatzea da tunel funtzional bat portu blokeatu gisa diagnostikatzeko bidea.

Egiaztatu irekiera-trukea ikusten ari zarela

IKEv2 negoziazioa IKE_SA_INIT-ekin hasten da, 34 truke-motarekin, 0 mezu-identifikatzailearekin. Hastekoak zero ez den SPI bat aukeratzen du, eta erantzulearen SPI zero da lehen eskaera horretan eta zero ez dena erantzunean. Hiru datu horiek saiakera berri bat bereizten dute gako-berritzepenetik edo kaptura baten goialdean kasualitatez dagoen IKE_AUTH mezu batetik.

Goiburuaren eremuak irakurgarriak dira, eta baita proposamenaren, gako-trukearen eta nonce-ren zamak ere. Irakurgarria ez da autentifikatua: inongo aldek ez du identitatea frogatu puntu honetan, eta Diffie-Hellmanen balio pribatua ez da inoiz agertzen kablean.

Inprimatu eremuak taula gisa deskodetze-panel bat korritu beharrean, berbidalketak eta bat ez datozen SPIak begi-bistakoak bihurtzen baitira zutabeetan.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Irakurri irteera bikoteka. 0 mezu-identifikatzailea duen eskaera bat, identifikatzaile bera eta erantzulearen zero ez den SPI bat daramatzan erantzun batek jarraituta, truke bakarra da, hiru aldiz agertzen bada ere eskaera berriro bidali zelako. Hiru eskaera berdin ez dira hiru saio-hasiera, eta horrela tratatzea da bezero bat begiztan dabilenaren ondorioa ateratzeko modua, pazientzia besterik ez duenean. Ordenatu mezu-identifikatzailearen arabera, gero denbora-markaren arabera, eta elkarrizketa osoa saiakeren zerrenda labur batean bilduko da.

Irakurri ukapen bat arrakasta bat irakurri aurretik

Erantzun bat ez da automatikoki aurrerapena. Erantzuleak cookie jakinarazpen batekin erantzun dezake eta hastekoak berriro saia dadin espero, edo INVALID_KE_PAYLOAD batekin, horren ordez onartuko lukeen talde bat izendatuz. Biak ondo eratutako IKE mezu gisa iristen dira, eta biak amaitutako truke baten antza dute paketeak soilik zenbatzen dituen iragazki batentzat.

Ireki jakinarazpen-zama eta irakurri mota beste ezer baino lehen. Cookie erronka batek esan nahi du erantzuleak iturburu-helbide faltsuen aurka defendatzen ari dela, eta bezeroak cookia erantsita birbidali behar du. Talde baliogabe batek esan nahi du bi proposamenak bat ez datozela, eta hori ez du berriz saiatzeak aldatuko, alde baten konfigurazioa mugitu arte.

IKE_AUTH-ek soilik, bigarren trukeak, darama identitate zifratua eta autentifikazio-zamak. Beraz, osatutako IKE_SA_INIT batek esaten dizu aldeak algoritmoetan eta eratorritako gakoetan ados daudela, eta ezer ez kredentzialak onartuko diren ala ez. Espero itzazu bi mezu han ere, eta espero itzazu biak opakuak saio-gakoak gabe.

4500 portua ez da protokolo bakarra

UDP 500-ek eramaten du normalean irekiera-trukea. NAT detekzioa exekutatu ondoren, IKE 4500era pasatzen da eta mezu bakoitzaren aurretik lau byteko zero markatzaile bat jartzen du, ESP ez dena. Portu bereko ESP kapsulatuak, aldiz, zero ez den ESP SPI batekin hasten dira, eta byte bakarreko NAT keepalive bat hirugarren forma da, besterik gertatzen ez denean agertzen dena.

Portuarekin soilik bat egiten duen iragazki batek hirurak nahasten ditu, eta horregatik "4500ean trafikoa dago" esaldiak hain gutxi erabakitzen du. Banatu ikuspegia protokoloaren arabera urruneko alderdiari buruz ezer ondorioztatu aurretik.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Isiltasunak behaketa-puntua deskribatzen du

Erantzunik gabeko eskaerek gauza zehatz bat ezartzen dute: kaptura-puntu hartan ez zen erantzunik agertu. Iragazketak, erantzuna beste norabait bidaltzen duen ibilbide batek, iristezin den erantzule batek edo proposamena gustuko ez duen erantzule batek emaitza huts bera ematen dute, eta UDP proba orokor batek ez ditu bereiziko.

ICMP iristezintasun bat beste mota bateko froga da. Irakurri haren barruan aipatutako paketea eta zehaztu zein gailuk jaurti zuen, bideratzaile baten administrazio-ukapena ez baita urruneko alderdiaren akats autentifikatua.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Lotu saiakera bera zerbitzariaren aldeko erregistroekin horiek irakurtzeko baimena duzun tokian. Eskaera iritsi zen, zerbitzuak erantzun zuen eta non gelditu zen erantzuna? Hiru erantzun horiek bide-arazo batera edo politika-arazo batera bidaltzen zaituzte, eta kredentzialak laugarren aldiz aldatzea baino gutxiago kostatzen dira.