Cén fáth nach léiríonn tcpdump IPsec-glan-téacs ach i dtreo amháin

Ritheann tú tcpdump ar chomhéadan seachtrach geata IPsec Linux agus feiceann tú dhá rud ag an am céanna: frámaí ESP isteach agus, go díreach ina ndiaidh, na paicéid istigh díchriptithe. Amach, ní fheictear ach ESP. Is é an chonclúid nádúrtha nach bhfuil freagraí á seoladh nó go ndéanann IPsec aon treo amháin a chriptiú agus go ndéanann sé dearmad ar an treo eile. Níl ceachtar acu fíor.

Is pointe gabhála é an rud a bhfuil tú ag breathnú air. Athraíonn an eithne paicéid amach sula dtugann cosán tarchurtha an ghléis don sócmhannán paicéad iad, mar sin ní fheiceann an sócmhannán an fhoirm istigh ag dul amach riamh. Isteach, gabhtar an paicéad mar ESP ar dtús agus bíonn an chóip dhíchapsúil le feiceáil nuair a théann sé isteach sa chruach arís. An trácht céanna, dhá fhuinneog bhreathnóireachta éagsúla.

Cinneann an pointe gabhála cad a fheiceann tú

Ar chomhéadan normálta, suíonn sócmhannán AF_PACKET gar do chiseal an ghléis. Téann paicéid a fhágann an t-óstach trí phróiseáil aschuir IPsec ar dtús, a dhéanann deighleog TCP istigh a athrú ina datagram ESP nó UDP-4500, agus ní shroicheann siad an ciseal sin ach ina dhiaidh sin. Cóipeáiltear paicéid a thagann isteach chuig an sócmhannán agus iad ag teacht den sreang, fós criptithe, agus bíonn an toradh díchriptithe le feiceáil níos déanaí nuair a sheachadann an chruach é go háitiúil nó nuair a sheolann sé ar aghaidh é.

Míníonn an t-ord sin an neamhshiméadracht go hiomlán. Ní fianaise í ar threo, ar pholasaí ná ar iompar feidhmchláir, agus má dhéileáiltear léi mar sin cuirtear daoine ar thóir freagra a cuireadh i gceart an t-am ar fad. Tá sé ar cheann den bheagán puzal líonra ina gcruthaíonn an ionstraim, ní an líonra, an t-ainmhíriú.

Cuir an scagaire in oiriúint don chiseal atá i gceist

Roghnaíonn slonn mar tcp port 443 nasc TCP istigh. Amach, tá an nasc sin iompaithe ina ESP cheana faoin am a gcuirtear ceist ar an sócmhannán, mar sin ní thagann an scagaire le haon rud. Más mian leat trácht cosanta a chomhaireamh, scag ar an bhfoirm sheachtrach ina ionad: prótacal 50 le haghaidh ESP amh, nó port UDP 4500 nuair a bhíonn trasnú NAT i bhfeidhm. Tugann an dá scagaire comhaireamh paicéad is féidir a chur i gcomparáid idir an dá phiar, agus is é sin de ghnáth an fáth a gcomhairtear ar chor ar bith. Ní insíonn ceachtar acu duit ar freagraíodh an t-iarratas istigh.

Ná déileáil le comhaireamh UDP 4500 mar chomhaireamh paicéad ESP. Úsáideann IKE an port sin freisin le haghaidh teachtaireachtaí coimeádtha NAT-T agus don mhalartú cuachta, mar sin cuimsíonn an uimhir trácht nach é na sonraí a bhí ar intinn agat a thomhas. Teastaíonn a scagaire féin ón malartú tosaigh IKE ar UDP 500 más é sin an cheist. Cuireann uimhir a mheascann trácht rialaithe le sonraí meastachán bandaleithead ar bith mícheart freisin faoi chorrlach anaithnid. Freagraíonn comhairimh ar leith ceisteanna ar leith.

Scríobh an scagaire in aice na ceiste a bhfreagraíonn sé. Is tomhais éagsúla le scagairí éagsúla iad «cá mhéad ESP a d'fhág an bosca» agus «ar fhág an t-iarratas gréasáin an bosca», agus ní féidir le gabháil amháin an dá rud a réiteach. Gan an nóta sin, cuirfidh beirt i gcomparáid uimhreacha nár chomhair riamh an rud céanna.

Breathnaigh roimh an gclaochlú, ní ina dhiaidh

Más gá duit glan-téacs amach a fheiceáil, bog an pointe breathnóireachta níos luaithe, roimh phróiseáil aschuir IPsec. Tugann NFLOG crúca Netfilter duit inar féidir le riail paicéid roghnaithe a chóipeáil chuig sócmhannán i spás úsáideora, ar féidir le tcpdump é a léamh. Déanann treoir dumpála tráchta strongSwan an cur chuige seo a dhoiciméadú go díreach ar an gcúis seo.

Cuireann an chomhoiriúnú polasaí teorainn leis an riail le trácht atá ar tí dul isteach i dtollán. Is é -m policy --pol ipsec --dir out a dhéanann an riail sainiúil in ionad gach paicéad a sheolann an bosca a logáil. Ansin léigh an grúpa logála le gabháil teoranta: coinníonn líon beag gaibhne agus teorainn mhéide an diagnóisic ó dhul ina chartlann tráchta. Tá gabháil theoranta níos éasca freisin le thabhairt do léirmheastóir gan ualach neamhábhartha a tharraingt leat. Socraigh an líon sula dtosaíonn tú, ní tar éis duit a fheiceáil cá mhéad a tháinig.

iptables -I OUTPUT 1 -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5
tcpdump -ni nflog:5 -s 128 -c 20 'host 10.83.0.44 and tcp port 8443'

Roghnaigh an crúca a oireann don sreabhadh. Clúdaíonn OUTPUT trácht a ghineann an geata féin; téann idirthuras ó chliant LAN tríd an slabhra FORWARD ina ionad, agus ní fheicfidh riail ar OUTPUT riamh é. Is áitsealbhóirí iad an seoladh agus an port thuas do cheann scríbe tástála ceadaithe.

Cad a chruthaíonn an bhreathnóireacht

Is sprioc logála é NFLOG, ní cinneadh glactha. Taispeánann paicéad a fheictear ann gur shroich sé an crúca agus gur tháinig sé leis an riail. Ní thaispeánann sé gur cheadaigh scagaire níos déanaí é, gur tharchuir an gléas é, nó gur fhaigh an piar aon rud.

Tá log folamh chomh débhríoch céanna. Seiceáil comhaireamh paicéad na rialach, dearbhaigh an treo, dearbhaigh gur tháinig an sreabhadh le polasaí IPsec i ndáiríre, agus dearbhaigh an ceann scríbe. Ní dhéanann ach comhaireamh comhoiriúnach ar an dá phiar breathnóireacht a iompú ina conclúid. Ansin cuir comhaireamh an chomhlachais slándála ar an dá phiar i gcomparáid don iarracht rialaithe chéanna, óir is iad comhaireamh SA an taifead údarásach ar an rud a cosnaíodh agus a seoladh.

Gaiste amháin eile: ciallaíonn «glan-téacs» sa chomhthéacs seo lasmuigh de chiseal criptithe IPsec. Tá a TLS féin ag seisiún HTTPS istigh fós. Ní dhíchriptíonn gabháil an phaicéid dhíchapsúil TLS an fheidhmchláir, agus ciallaíonn HTTP inléite a fheiceáil ann nár úsáid an feidhmchlár HTTPS riamh.

Glan suas agus cuir an dá cheann i gcomparáid

Bain an riail bheacht a chuir tú isteach, de réir a húinéara, a luaithe a bheidh an bhreathnóireacht déanta. Cosnaíonn riail logála a fhágtar ina háit CPU ar gach paicéad comhoiriúnach agus cruthaíonn sí fadhb coinneála sonraí go ciúin. Scrios tríd an riail a athrá le -D seachas slabhra nach bhfuil agat a shruthú.

iptables -D OUTPUT -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

Má úsáideann an t-imscaradh IPsec spás úsáideora, comhéadan XFRM nó íoslódáil crua-earraí, bogann na pointí breathnóireachta agus b'fhéidir nach mbeidh an t-oideas seo infheidhme ar chor ar bith. Le libipsec, is é an gléas TUN an áit dhoiciméadaithe le breathnú ar thrácht istigh. Sainaithin an cosán ar dtús, ansin roghnaigh an pointe a fhreagraíonn an cheist, agus bí ag súil go mbeidh an dá threo éagsúil amháin nuair a bhíonn tú ag féachaint ar an taobh mícheart den chlaochlú.