Conas an chéad mhalartú IKEv2 a léamh i ngabháil paicéad

Is iad gabhálacha a thógtar i lár seisiúin an chúis is gnáthaí go bhféachann lorg IKEv2 cosúil le torann, mar tá na piaraí cheana ag athnuachan eochracha nó ag malartú ualaí criptithe nuair a thosaíonn an taifeadadh. Tosaigh le hiarracht nua naisc ina ionad, ionas gurb é an chéad teachtaireacht sa chomhad an ceann a osclaíonn an chaibidlíocht. Glactar leis sin sa léamh-ord thíos, agus marcáiltear an pointe a stopann paicéad de bheith ag cruthú aon rud faoin bhfaráiste i bhfad i gcéin. Is é scipeáil an chéim sin an bealach a ndéantar diagnóis ar thollán atá ag obair mar phort blocáilte.

Deimhnigh go bhfuil tú ag féachaint ar an malartú tosaigh

Tosaíonn caibidlíocht IKEv2 le IKE_SA_INIT, cineál malartaithe 34, aitheantóir teachtaireachta 0. Roghnaíonn an tionscnóir SPI nach bhfuil nialasach, agus tá SPI an fhreagróra nialasach san chéad iarratas sin agus neamh-nialasach sa fhreagra. Scarann na trí fhíric sin iarracht nua ó athnuachan eochracha nó ó theachtaireacht IKE_AUTH a tharlaíonn a bheith ag barr gabhála.

Tá réimsí an chinnín inléite, agus mar an gcéanna na hualaí molta, malartaithe eochracha agus nonce. Ní hionann inléite agus fíordheimhnithe: níl aon phíara tar éis féiniúlacht a chruthú ag an bpointe seo, agus ní fheictear luach príobháideach Diffie-Hellman ar an sreang choíche.

Priontáil na réimsí mar thábla seachas scrollú trí phainéal díchódála, mar bíonn atarchur agus SPIanna nach n-oireann le chéile soiléir i gcolúin.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Léigh an t-aschur ina phéirí. Iarratas le haitheantóir teachtaireachta 0 agus freagra ina dhiaidh a iompraíonn an t-aitheantóir céanna agus SPI freagróra neamh-nialasach is aon mhalartú amháin é, fiú nuair a fheictear trí huaire é mar gur atarchuireadh an t-iarratas. Ní trí logáil isteach iad trí iarratas comhionanna, agus is é an chaoi a gcaitear leo amhlaidh a thugann daoine chun conclúide go bhfuil cliant ag lúbadh timpeall nuair nach bhfuil ann ach foighneach. Sórtáil de réir aitheantóir teachtaireachta, ansin de réir stampa ama, agus tiocfaidh an comhrá ar fad le chéile ina liosta gairid iarrachtaí.

Léigh diúltú sula léann tú rath

Ní dul chun cinn uathoibríoch é freagra. Féadfaidh an freagróir freagra a thabhairt le fógra cookie agus súil a bheith aige go ndéanfaidh an tionscnóir iarracht arís, nó le INVALID_KE_PAYLOAD ag ainmniú grúpa a ghlacfadh sé ina ionad. Tagann an dá rud mar theachtaireachtaí IKE dea-chruthaithe, agus féachann an dá rud cosúil le malartú críochnaithe do scagaire nach gcomhaireann ach paicéid.

Oscail ualach an fhógra agus léigh an cineál roimh aon rud eile. Ciallaíonn dúshlán cookie go bhfuil an freagróir ag cosaint air féin i gcoinne seoltaí foinse bréige, agus caithfidh an cliant athsheoladh leis an cookie ceangailte. Ciallaíonn grúpa neamhbhailí nach n-aontaíonn an dá mholadh, rud nach n-athróidh aon mhéid athiarrachta go dtí go ngluaiseann cumraíocht taobh amháin.

Ní iompraíonn ach IKE_AUTH, an dara malartú, an fhéiniúlacht chriptithe agus na hualaí fíordheimhnithe. Mar sin deir IKE_SA_INIT críochnaithe leat go n-aontaíonn na piaraí ar halgartaim agus ar eochracha díorthaithe, agus go deimhin ní deir sé faic faoi cé acu a nglacfar leis na dintiúirí. Bí ag súil le dhá theachtaireacht ansin freisin, agus bí ag súil go mbeidh an dá rud teimhneach gan eochracha an tseisiúin.

Ní aon phrótacal amháin é port 4500

Is gnách le UDP 500 an malartú tosaigh a iompar. Nuair a bheidh braite NAT rite, bogann IKE go 4500 agus cuireann marcóir nialasach ceithre bheart nach ESP os comhair gach teachtaireachta. Tosaíonn ESP ionchochlaithe ar an bport céanna le SPI ESP neamh-nialasach ina ionad, agus is tríú cruth é NAT keepalive aon bheart a fheictear nuair nach dtarlaíonn aon rud eile.

Meascann scagaire a mheaitseálann an port amháin an trí rud, agus is é sin an fáth nach socraíonn "tá trácht ar 4500" ach fíorbheagán. Roinn an radharc de réir prótacail sula dtagann tú chun aon chonclúide faoin bhfaráiste i bhfad i gcéin.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Déanann ciúnas cur síos ar an bpointe breathnaithe

Ní shocraíonn iarratais gan freagraí ach rud amháin go beacht: ag an bpointe gabhála sin níor tháinig aon fhreagra. Táirgeann scagadh, bealach a sheolann an freagra áit éigin eile, freagróir nach féidir a shroicheadh, nó freagróir nach dtaitníonn an moladh leis, an toradh folamh céanna ar fad, agus ní dhéanfaidh probe UDP ginearálta iad a scaradh.

Is fianaise de chineál eile é ICMP nach féidir a shroicheadh. Léigh an paicéad luaite istigh ann agus aithin cén gléas a d'eisigh é, mar ní hearráid fhíordheimhnithe ón bhfaráiste i bhfad i gcéin é diúltú riaracháin ródaire.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Cuir an iarracht chéanna i gcomhghaol le logaí taobh an fhreastalaí áit a bhfuil cead agat iad a léamh. Ar tháinig an t-iarratas, ar fhreagair an tseirbhís, agus cá stop an freagra? Seolann na trí fhreagra sin chuig fadhb chonair nó chuig fadhb bheartais tú, agus cosnaíonn siad níos lú ná dintiúirí a rothlú don cheathrú huair.