Hoe’t jo in nije IKE_SA_INIT-útwikseling yn in opname lêze

Begjin by in opname dy’t foar it earste pakket fan ’e poging begjint, oars lêze jo it midden fan in petear. In ûnderhanneling dy’t al rint lit fersifere útwikselings en kaaifernijings sjen, en gjin fan beide liket op ’e iepening. De iepening is it part dat jo sûnder kaaien dekodearje kinne, en dêrom beantwurdet it berikberheidsfragen sa goed. Fjouwer kontrôles yn folchoarder bringe jo fan in nije opname nei in ferdigenbere útspraak oer hokker kant ophold mei praten.

Earst, befêstigje dat de opname by it begjin begjint

In opname dy’t begûn is neidat de tunnel omheech kaam, sil de ynkapsele datastream en periodyk keepalive befetsje, en beide binne of fersifere of hast leech. Start de klient op ’e nij en registrearje de poging sels, of lokje mei opsetsin in nije ferbining út wylst de opname rint. Kinne jo gjin nije poging meitsje, skriuw dat dan yn jo notysjes, want gjin dekodearring hellet in iepening werom dy’t jo nea registrearre hawwe.

Behein de opname ta de beide einpunten en ta UDP 500 en 4500, sadat it bestân lyts genôch bliuwt om te lêzen. Op in drokke host begraaft in opname sûnder filter de ûnderhanneling ûnder oareoftich ferkear.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Bewarje it bestân as de poging nijsgjirrich is, want deselde opname beantwurdet beide folgjende fragen: wat de útwikseling wie, en oft der wat weromkaam. Etikettearje it mei de starttiid en it einpuntpear dêr’t jo op filtere hawwe. In opname sûnder dy twa feiten is in wike letter nutteleas, as de adressen feroare binne en nimmen mear wit hokker poging it registrearre.

Twadde, lês de kop foar de ladingen

De IKE-kop draacht de befeiligingsparameter-yndeksen, it útwikselingstype en de berjocht-ID, en by in nije ûnderhanneling binne dy wearden karakteristyk. De inisjator betinkt in SPI dy’t net nul is, it earste fersyk draacht in antwurd-SPI fan nul, om’t der noch gjin antwurd sjoen is, it útwikselingstype is IKE_SA_INIT, en de berjocht-ID is nul. Al it oare heart by in lettere faze fan deselde ûnderhanneling of by in hiel oare poging.

De foarstel-, kaaiútwikselings- en nonce-ladingen yn dizze earste útwikseling binne iepen te lêzen. Lêsber is net autentisearre, en op dit punt hat gjin fan beide kanten syn identiteit bewiisd.

De privee Diffie-Hellman-wearde giet nea oer de tried, dus de opname lit jo gjin sesjekaaien ôfliede. Autentikaasje bart yn ’e folgjende útwikseling, beskerme troch wat de earste úthannele. As immen freget oft in kant echt is, kin dizze útwikseling dy fraach net beäntwurdzje. It kin allinnich sjen litte dat beide kanten it iens waarden oer in foarstel en in mienskiplik geheim makken dat it bestân net befettet.

Tredde, keppelje it fersyk oan syn antwurd

Keppelje op it SPI-pear, it útwikselingstype en de berjocht-ID, en kontrolearje dan de antwurdflagge. In werferstjoering werhellet de berjocht-ID fan it orizjineel en is gjin twadde oanmeldpoging. Pakketten telle ynstee fan útwikselings is hoe’t in sûne ûnderhanneling in fantoomlus wurdt.

In antwurd kin ek in wegering wêze: in koekjefersyk, in melding fan in net akseptabele groep, of in flater oer in foarstel. Dat binne legitime antwurden, en se betsjutte dat it paad wurket wylst it belied dat net docht. Dekodearje de melding ynstee fan elk antwurd as sukses te beskôgjen. As de melding in groep of in foarstel neamt, is de reparaasje oan ’e konfiguraasjekant en net by de fjoermuorre.

De rjochting makket ek út. In fersyk sûnder antwurd en in antwurd dat de klient nea berikt, binne ferskillende flaters, en allinnich it twadde liket op in klienteside-time-out.

Fjirde, skied IKE fan al it oare op 4500

Poarte 4500 draacht trije dingen dy’t yn in gearfetting itselde lykje: IKE efter in fjouwerbyte-nul-non-ESP-markearring, ynkapselarre ESP wêrfan’t de markearringsposysje in SPI hat dy’t net nul is, en koarte keepalives. Dy markearring is wat IKE fan ynkapselarre ESP skiedt, dus lês dy bytes foardat jo it ferkear IKE neame. In opnamelabel dat 4500 lêst is in poartenûmer, gjin protokol.

Ynkapselarre ESP is fersifere lading dy’t jo sûnder kaaien net ynterpretearje kinne, en syn oanwêzigens kin it teken wêze fan in wurkjende tunnel ynstee fan in flater.

Hâld beide poarten yn it each foar deselde poging, want IKE kin nei 4500 ferhúzje nei NAT-deteksje, sels al iepene it op 500. In spoar dat allinnich op 500 filtere is, liket stil krekt as de ûnderhanneling slagge en ferhuze. Ferspride jo filter en lês itselde tiidfinster op ’e nij foardat jo út ôfwêzigens in konklúzje lûke.

Wat stilte op ien observaasjepunt betsjut

Gjin antwurd by de klient bewiist allinnich wat dat punt observearre. Filtering, routing, it ferkearde fiere adres, in tsjinst dy’t del is en in protokolferskil jouwe allegear itselde lege spoar.

In relevante ICMP unreachable foeget bewiis ta, mar lês it sitearre pakket deryn en notearje it adres fan it apparaat dat it stjoerd hat.

De wegering fan in router is in oare barren as in autentisearre flater dy’t de oare kant weromstjoert, en allinnich it twadde bewiist dat de tsjinst libbet. Korrellearje deselde poging mei serverlogs of in goedkarde observaasje om te witten oft it fersyk oankaam en oft der in antwurd fuortgong. Hâld opnames beheind en privee, want lêsbere hânskudfelden meitsje de rest fan it bestân net harmless. It resultaat dat de muoite wurdich is, is ien keppele fersyk en antwurd, of ien dokumintearre gat mei in neamd observaasjepunt.