Näin luet tuoreen IKE_SA_INIT-vaihdon tallenteesta

Aloita tallenteesta, joka alkaa ennen yrityksen ensimmäistä pakettia, muuten luet keskustelun keskikohtaa. Jo käynnissä oleva neuvottelu näyttää salatut vaihdot ja avainten uusinnat, eikä kumpikaan näytä avaukselta. Avaus on se osa, jonka voi purkaa ilman avaimia, ja siksi se vastaa saatavuuskysymyksiin niin hyvin. Neljä tarkistusta järjestyksessä vievät sinut tuoreesta tallenteesta perusteltuun väitteeseen siitä, kumpi puoli lakkasi puhumasta.

Ensiksi varmista, että tallenne alkaa alusta

Tunnelin nousun jälkeen aloitettu tallenne sisältää kapseloidun datavirran ja säännölliset keepalive-viestit, ja molemmat ovat joko salattuja tai lähes tyhjiä. Käynnistä asiakas uudelleen ja tallenna itse yritys, tai laukaise tarkoituksella uusi yhteys tallenteen aikana. Jos et voi tuottaa tuoretta yritystä, kirjoita se muistiinpanoihisi, sillä mikään purku ei palauta avausta, jota et koskaan tallentanut.

Rajaa tallenne kahteen päätepisteeseen sekä UDP 500 ja 4500 -portteihin, jotta tiedosto pysyy lukukelpoisen pienenä. Kiireisellä isännällä suodattamaton tallenne hautaa neuvottelun asiaankuulumattoman liikenteen alle.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Säilytä tiedosto, kun yritys on kiinnostava, sillä sama tallenne vastaa molempiin seuraaviin kysymyksiin: mikä vaihto oli ja tuliko jotain takaisin. Merkitse siihen alkamisaika ja se päätepistepari, jolla suodatit. Tallenne ilman näitä kahta tietoa on hyödytön viikon päästä, kun osoitteet ovat muuttuneet eikä kukaan muista, minkä yrityksen se tallensi.

Toiseksi lue otsake ennen hyötykuormia

IKE-otsake kuljettaa turvaparametrien indeksit, vaihdon tyypin ja viestin tunnisteen, ja tuoreessa neuvottelussa nämä arvot ovat tunnusomaisia. Aloittaja keksii nollasta poikkeavan SPI:n, alkuperäinen pyyntö kuljettaa vastaajan SPI:nä nollaa, koska vastausta ei ole vielä nähty, vaihdon tyyppi on IKE_SA_INIT ja viestin tunniste on nolla. Kaikki muu kuuluu saman neuvottelun myöhempään vaiheeseen tai aivan toiseen yritykseen.

Tämän ensimmäisen vaihdon ehdotus-, avainvaihto- ja nonce-hyötykuormat ovat luettavissa avoimina. Luettavuus ei ole todennus, eikä kumpikaan osapuoli ole tässä vaiheessa todistanut henkilöllisyyttään.

Yksityinen Diffie-Hellman-arvo ei koskaan ylitä johtoa, joten tallenteesta ei voi johtaa istuntoavaimia. Todennus tapahtuu seuraavassa vaihdossa, suojattuna sillä, mistä ensimmäinen sopi. Jos joku kysyy, onko osapuoli aito, tämä vaihto ei voi vastata siihen kysymykseen. Se voi vain näyttää, että molemmat puolet sopivat ehdotuksesta ja tuottivat yhteisen salaisuuden, jota tiedosto ei sisällä.

Kolmanneksi sovita pyyntö vastaukseensa

Sovita SPI-parin, vaihdon tyypin ja viestin tunnisteen perusteella ja tarkista sitten vastauslippu. Uudelleenlähetys toistaa alkuperäisen viestin tunnisteen eikä ole toinen kirjautumisyritys. Pakettien laskeminen vaihtojen sijaan on se tapa, jolla terve neuvottelu muuttuu kummituslenkiksi.

Vastaus voi olla myös hylkäys: evästepyyntö, ilmoitus kelpaamattomasta ryhmästä tai virhe ehdotuksesta. Ne ovat laillisia vastauksia, ja ne tarkoittavat, että polku toimii, mutta käytäntö ei. Pura ilmoitus sen sijaan, että pitäisit jokaista vastausta onnistumisena. Kun ilmoitus nimeää ryhmän tai ehdotuksen, korjaus on kokoonpanon puolella eikä palomuurissa.

Suunnalla on myös merkitystä. Pyyntö ilman vastausta ja vastaus, joka ei koskaan saavu asiakkaalle, ovat eri vikoja, ja vain toinen näyttää asiakaspuolen aikakatkaisulta.

Neljänneksi erota IKE kaikesta muusta portilla 4500

Portti 4500 kuljettaa kolmea asiaa, jotka näyttävät yhteenvedossa samanlaisilta: IKE nelitavuisen nolla-non-ESP-merkin takana, kapseloitu ESP, jonka merkin kohdalla on nollasta poikkeava SPI, ja lyhyet keepalive-viestit. Juuri merkki erottaa IKE:n kapseloidusta ESP:stä, joten lue ne tavut ennen kuin kutsut liikennettä IKE:ksi. Tallenteen tunniste, joka lukee 4500, on portin numero, ei protokolla.

Kapseloitu ESP on salattua hyötykuormaa, jota et voi tulkita ilman avaimia, ja sen läsnäolo voi olla merkki toimivasta tunnelista eikä viasta.

Tarkkaile molempia portteja saman yrityksen osalta, sillä IKE voi siirtyä 4500:lle NAT-tunnistuksen jälkeen, vaikka se avattiin 500:lla. Vain portilla 500 suodatettu jälki näyttää hiljaiselta juuri silloin, kun neuvottelu onnistui ja siirtyi. Laajenna suodatinta ja lue sama aikaikkuna uudelleen ennen kuin teet poissaolosta minkäänlaista johtopäätöstä.

Mitä hiljaisuus yhdessä havaintopisteessä tarkoittaa

Vastauksen puuttuminen asiakkaalla todistaa vain sen, mitä kyseinen piste havaitsi. Suodatus, reititys, väärä etäosoite, alas ajettu palvelu ja protokollan yhteensopimattomuus tuottavat kaikki saman tyhjän jäljen.

Asianmukainen ICMP unreachable lisää todistetta, mutta lue sen sisällä lainattu paketti ja merkitse lähettäneen laitteen osoite.

Reitittimen hylkäys on eri tapahtuma kuin vastapuolen palauttama todennettu virhe, ja vain jälkimmäinen todistaa palvelun olevan elossa. Korreloi sama yritys palvelimen lokeihin tai hyväksyttyyn havaintoon, jotta tiedät, saapuiko pyyntö ja lähtikö vastaus. Pidä tallenteet rajattuina ja yksityisinä, sillä luettavat kättelykentät eivät tee tiedoston loppuosasta vaaratonta. Tulos, joka kannattaa, on yksi sovitettu pyyntö ja vastaus tai yksi dokumentoitu aukko, jolla on nimetty havaintopiste.