Conas malartú nua IKE_SA_INIT a léamh i ngabháil

Tosaigh le gabháil a thosaíonn roimh chéad phaicéad na hiarrachta, nó beidh tú ag léamh lár comhrá. Taispeánann idirbheartaíocht atá ar siúl cheana malartuithe criptithe agus athnuachan eochracha, agus ní fhéachann ceachtar acu cosúil leis an oscailt. Is é an oscailt an chuid is féidir a dhíchódú gan eochracha, agus is ar an ábhar sin a fhreagraíonn sé ceisteanna inrochtaineachta chomh maith sin. Tógann ceithre sheiceáil in ord ó ghabháil úr go ráiteas inchosanta faoi cé an taobh a stop de bheith ag caint.

Ar dtús, deimhnigh go dtosaíonn an ghabháil ag an tús

Beidh an sruth sonraí ionchochlaithe agus keepalives tréimhsiúla i ngabháil a cuireadh tús léi tar éis an tollán a ardú, agus tá an dá rud criptithe nó beagnach folamh. Atosaigh an cliant agus taifead an iarracht féin, nó spreag nasc nua go toiliúil fad a bhíonn an ghabháil ag rith. Mura féidir leat iarracht úr a tháirgeadh, scríobh é sin i do nótaí, mar ní fhaigheann aon díchódú ar ais oscailt nár thaifead tú riamh.

Cuir an ghabháil chuig an dá chríochphointe agus chuig UDP 500 agus 4500 ionas go bhfanfaidh an comhad beag go leor le léamh. Ar óstach gnóthach cuireann gabháil gan scagaire an idirbheartaíocht faoi thrácht neamhghaolmhar.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Coinnigh an comhad nuair a bhíonn an iarracht suimiúil, mar freagraíonn an ghabháil chéanna an dá cheist seo a leanas: cad a bhí sa mhalartú, agus ar tháinig aon rud ar ais. Lipéadaigh é le ham tosaithe agus leis an bpéire críochphointe ar scag tú air. Tá gabháil gan an dá fhíric sin gan úsáid seachtain ina dhiaidh, nuair a bheidh na seoltaí athraithe agus nach cuimhin le héinne cé acu iarracht a taifeadadh.

Ar an dara dul síos, léigh an ceanntásc roimh na hualaí

Iompraíonn ceanntásc IKE na hinnéacsanna paraiméadar slándála, cineál an mhalartaithe agus ID na teachtaireachta, agus in idirbheartaíocht úr tá na luachanna sin sainiúil. Ceapann an tionscnóir SPI nach bhfuil nialasach, iompraíonn an chéad iarratas SPI freagróra de nialas mar nár chonacthas aon fhreagra fós, is é IKE_SA_INIT cineál an mhalartaithe, agus tá ID na teachtaireachta nialasach. Baineann aon rud eile le céim níos déanaí den idirbheartaíocht chéanna nó le hiarracht iomlán eile.

Tá ualaí an togra, an mhalartaithe eochair agus an nonce sa chéad mhalartú seo inléite go hoscailte. Ní hionann inléite agus fíordheimhnithe, agus ag an bpointe seo níl aitheantas cruthaithe ag ceachtar taobh.

Ní thrasnaíonn luach príobháideach Diffie-Hellman an sreang riamh, mar sin ní ligeann an ghabháil duit eochracha seisiúin a dhíorthú. Tarlaíonn an fhíordheimhniú sa chéad mhalartú eile, cosanta ag an méid a rinne an chéad cheann a chaibidliú. Má fhiafraíonn duine an bhfuil taobh barántúil, ní féidir leis an malartú seo an cheist sin a fhreagairt. Ní féidir leis ach a thaispeáint gur aontaigh an dá thaobh ar thogra agus gur tháirg siad rún comhroinnte nach bhfuil sa chomhad.

Ar an tríú dul síos, meaitseáil an t-iarratas lena fhreagra

Meaitseáil ar an bpéire SPI, ar chineál an mhalartaithe agus ar ID na teachtaireachta, ansin seiceáil bratach an fhreagra. Athsheoltar ID teachtaireachta an bhunaidh in athchraoladh agus ní hiarracht logála isteach é. Is é comhaireamh paicéad in ionad malartuithe an bealach a n-athraíonn idirbheartaíocht shláintiúil ina lúb thaibhseach.

Is féidir le freagra a bheith ina dhiúltú freisin: iarratas fianán, fógra faoi ghrúpa do-ghlactha, nó earráid faoi thogra. Is freagraí dlisteanacha iad sin, agus ciallaíonn siad go n-oibríonn an cosán cé nach n-oibríonn an beartas. Díchódaigh an fógra in ionad gach freagra a mheas mar rath. Nuair a luann an fógra grúpa nó togra, tá an deisiú ar thaobh an chumraíochta seachas ag an mballa dóiteáin.

Tá tábhacht leis an treo freisin. Is lochtanna difriúla iad iarratas gan fhreagra agus freagra nach sroicheann an cliant riamh, agus ní fhéachann ach an dara ceann cosúil le teorainn ama ar thaobh an chliaint.

Ar an gceathrú dul síos, scar IKE ó gach rud eile ar 4500

Iompraíonn port 4500 trí rud a fhéachann cosúil le chéile i bhfís achomair: IKE taobh thiar de mharcóir non-ESP nialasach ceithre bheart, ESP ionchochlaithe a bhfuil SPI neamh-nialasach ina shuíomh marcóra, agus keepalives gearra. Is é an marcóir sin a scarann IKE ó ESP ionchochlaithe, mar sin léigh na bearta sin sula lipéadaíonn tú an trácht mar IKE. Is uimhir phoirt é lipéad gabhála a léann 4500, ní prótacal.

Is ualach criptithe é ESP ionchochlaithe nach féidir leat a léirmhíniú gan eochracha, agus d’fhéadfadh a láithreacht a bheith ina comhartha ar thollán atá ag obair seachas ar locht.

Faire ar an dá phort don iarracht chéanna, mar is féidir le IKE bogadh go 4500 tar éis brath NAT cé gur osclaíodh ar 500 é. Breathnaíonn rian a scagtar ar 500 amháin ina thost go díreach nuair a d’éirigh leis an idirbheartaíocht agus nuair a bhog sí. Leathnaigh an scagaire agus léigh an fhuinneog ama chéanna arís sula dtarraingíonn tú aon chonclúid ón easpa.

Cad a chiallaíonn tost ag pointe breathnaithe amháin

Ní chruthaíonn aon fhreagra ag an gcliant ach an méid a bhreathnaigh an pointe sin. Táirgeann scagadh, ródú, an seoladh cianda mícheart, seirbhís atá síos agus mí-oiriúnacht prótacail uile an rian folamh céanna.

Cuireann ICMP unreachable ábhartha fianaise leis, ach léigh an paicéad luaite atá istigh ann agus tabhair faoi deara seoladh na gléise a sheol é.

Is é diúltú ródaire imeacht éagsúil ó earráid fhíordheimhnithe a thugann an taobh eile ar ais, agus ní chruthaíonn ach an dara ceann go bhfuil an tseirbhís beo. Comhghaolaigh an iarracht chéanna le logaí freastalaí nó le breathnú faofa chun a fháil amach ar tháinig an t-iarratas agus ar fhág freagra. Coinnigh gabhálacha teoranta agus príobháideacha, mar ní dhéanann réimsí croith láimhe inléite an chuid eile den chomhad neamhdhíobhálach. Is é an toradh is fiú a bheith agat péire iarratais agus freagra atá meaitseáilte, nó bearna dhoiciméadaithe le pointe breathnaithe ainmnithe.