Näin luet ensimmäisen IKEv2-vaihdon pakettikaappauksesta

Keskeltä istuntoa tehdyt kaappaukset ovat tavallinen syy siihen, että IKEv2-jälki näyttää kohinalta, koska osapuolet jo uusivat avaimia tai vaihtavat salattuja hyötykuormia tallennuksen alkaessa. Aloita sen sijaan tuoreesta yhteysyrityksestä, jotta tiedoston ensimmäinen viesti on se, joka avaa neuvottelun. Alla oleva lukujärjestys olettaa tämän ja merkitsee kohdan, jossa paketti lakkaa todistamasta mitään kaukokohdasta. Juuri tämän vaiheen ohittaminen johtaa siihen, että toimiva tunneli diagnosoidaan estetyksi portiksi.

Varmista, että katsot avausvaihtoa

IKEv2-neuvottelu alkaa IKE_SA_INITillä, vaihtotyyppi 34, viestitunniste 0. Aloittaja valitsee nollasta poikkeavan SPIn, ja vastaajan SPI on nolla tuossa ensimmäisessä pyynnössä ja nollasta poikkeava vastauksessa. Nämä kolme seikkaa erottavat tuoreen yrityksen avainten uusimisesta tai IKE_AUTH-viestistä, joka sattuu olemaan kaappauksen kärjessä.

Otsikkokentät ovat luettavissa, samoin ehdotuksen, avainvaihdon ja noncen hyötykuormat. Luettava ei tarkoita todennettua: kumpikaan osapuoli ei ole todistanut henkilöllisyyttään tässä vaiheessa, eikä Diffie-Hellmanin yksityinen arvo näy koskaan johdolla.

Tulosta kentät taulukkona sen sijaan, että vierittäisit dekoodauspaneelia, koska uudelleenlähetykset ja yhteensopimattomat SPIt tulevat ilmeisiksi sarakkeissa.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Lue tuloste pareittain. Pyyntö, jonka viestitunniste on 0, ja sitä seuraava vastaus, jossa on sama tunniste ja nollasta poikkeava vastaajan SPI, on yksi vaihto, vaikka se ilmestyisi kolme kertaa, koska pyyntö lähetettiin uudelleen. Kolme samanlaista pyyntöä ei ole kolme kirjautumista, ja juuri niin kohtelemalla päädytään siihen, että asiakas kiertää silmukkaa, vaikka se on vain kärsivällinen. Järjestä viestitunnisteen ja sitten aikaleiman mukaan, ja koko keskustelu kutistuu lyhyeksi yritysten luetteloksi.

Lue hylkäys ennen kuin luet onnistumisen

Vastaus ei ole automaattisesti edistystä. Vastaaja voi vastata cookie-ilmoituksella ja odottaa aloittajan yrittävän uudelleen, tai INVALID_KE_PAYLOADilla, joka nimeää ryhmän, jonka se mieluummin hyväksyisi. Molemmat saapuvat hyvin muodostettuina IKE-viesteinä, ja molemmat näyttävät päättyneeltä vaihdolta suodattimelle, joka vain laskee paketteja.

Avaa ilmoituksen hyötykuorma ja lue tyyppi ennen kaikkea muuta. Cookie-haaste tarkoittaa, että vastaaja puolustautuu väärennettyjä lähdeosoitteita vastaan, ja asiakkaan on lähetettävä uudelleen cookie mukanaan. Virheellinen ryhmä tarkoittaa, että kaksi ehdotusta eivät sovi yhteen, eikä mikään määrä uudelleenyrityksiä muuta sitä ennen kuin toisen osapuolen kokoonpano muuttuu.

Vain IKE_AUTH, toinen vaihto, kuljettaa salatun henkilöllisyyden ja todennuksen hyötykuormat. Valmis IKE_SA_INIT kertoo siis, että osapuolet ovat yhtä mieltä algoritmeista ja johdetuista avaimista, ja täsmälleen ei mitään siitä, hyväksytäänkö tunnistetiedot. Odota sielläkin kahta viestiä ja odota molempien olevan läpinäkymättömiä ilman istuntoavaimia.

Portti 4500 ei ole yksi protokolla

UDP 500 kuljettaa yleensä avausvaihdon. Kun NAT-tunnistus on ajanut, IKE siirtyy portille 4500 ja liittää jokaisen viestin eteen neljän tavun nollamerkinnän, joka ei ole ESP:tä. Saman portin kapseloitu ESP alkaa sen sijaan nollasta poikkeavalla ESP SPIllä, ja yhden tavun NAT-keepalive on kolmas muoto, joka ilmestyy, kun mitään muuta ei tapahdu.

Suodatin, joka täsmää vain porttiin, sekoittaa kaikki kolme, minkä vuoksi "portilla 4500 on liikennettä" ratkaisee niin vähän. Jaa näkymä protokollan mukaan ennen kuin päättelet mitään kaukokohdasta.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Hiljaisuus kuvaa havaintopistettä

Pyynnöt ilman vastauksia osoittavat täsmälleen yhden asian: siinä kaappauspisteessä ei ilmestynyt vastausta. Suodatus, vastauksen muualle lähettävä reitti, tavoittamaton vastaaja tai vastaaja, joka ei pidä ehdotuksesta, tuottavat kaikki saman tyhjän tuloksen, eikä yleinen UDP-koetin erota niitä.

ICMP-tavoittamattomuus on todiste toisenlaisesta. Lue sen sisältämä lainattu paketti ja selvitä, mikä laite sen lähetti, koska reitittimen hallinnollinen hylkäys ei ole kaukokohdan todennettu virhe.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Korreloi sama yritys palvelinpuolen lokeihin siellä, missä sinulla on lupa lukea niitä. Saapuiko pyyntö, vastasiko palvelu ja mihin vastaus pysähtyi? Ne kolme vastausta ohjaavat sinut reittiongelmaan tai käytäntöongelmaan, ja ne maksavat vähemmän kuin tunnistetietojen neljäs vaihto.