કેપ્ચરમાં નવી IKE_SA_INIT આપલે કેવી રીતે વાંચવી

જે કેપ્ચર પ્રયાસના પ્રથમ પેકેટ પહેલાં શરૂ થાય તેનાથી શરૂ કરો, નહીં તો તમે વાતચીતની વચ્ચે વાંચશો। પહેલેથી ચાલતી વાટાઘાટ એન્ક્રિપ્ટેડ આપલે અને ચાવી નવીકરણ દર્શાવે છે, અને બંમાંથી કોઈ શરૂઆત જેવું લાગતું નથી। શરૂઆત એ ભાગ છે જે ચાવી વિના ડિકોડ કરી શકાય છે, અને તેથી જ તે પહોંચનાક્ષમતાના પ્રશ્નોના આટલા સારા જવાબ આપે છે। ક્રમમાં ચાર તપાસ તમને તાજા કેપ્ચરથી એ નિવેદન સુધી લઈ જાય છે કે કઈ બાજુએ બોલવાનું બંધ કર્યું।

પ્રથમ, ખાતરી કરો કે કેપ્ચર શરૂઆતથી શરૂ થાય છે

ટનલ ઉપર આવ્યા પછી શરૂ થયેલું કેપ્ચર એન્કેપ્સ્યુલેટેડ ડેટા સ્ટ્રીમ અને સમયાંતરિક keepalive ધરાવશે, અને બંને ક્યાં તો એન્ક્રિપ્ટેડ છે ક્યાં તો લગભગ ખાલી છે। ક્લાયન્ટ ફરી શરૂ કરો અને પ્રયાસ પોતે રેકોર્ડ કરો, અથવા કેપ્ચર ચાલતું હોય ત્યારે જાણી જોઈને નવું જોડાણ ઉત્પન્ન કરો। જો તમે તાજો પ્રયાસ ન બનાવી શકો તો તમારી નોંધમાં લખો, કારણ કે કોઈ પણ ડિકોડિંગ એ શરૂઆત પાછી લાવતું નથી જે તમે કદી રેકોર્ડ કરી નથી।

કેપ્ચરને બે અંતિમ બિંદુઓ અને UDP 500 તથા 4500 સુધી મર્યાદિત કરો જેથી ફાઇલ વાંચવા જેટલી નાની રહે। વ્યસ્ત હોસ્ટ પર ફિલ્ટર વગરનું કેપ્ચર વાટાઘાટને અસંબંધિત ટ્રાફિક નીચે દબાવી દે છે।

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

જ્યારે પ્રયાસ રસપ્રદ હોય ત્યારે ફાઇલ રાખો, કારણ કે એ જ કેપ્ચર આગળના બંને પ્રશ્નોના જવાબ આપે છે: આપલે શું હતી, અને કંઈ પાછું આવ્યું કે નહીં। તેના પર શરૂઆતનો સમય અને તમે ફિલ્ટર કરેલી અંતિમ બિંદુ જોડી લખો। આ બે હકીકતો વિના કેપ્ચર એક અઠવાડિયા પછી નકામું છે, જ્યારે સરનામાં બદલાઈ ગયા હોય અને કોઈને યાદ ન હોય કે કયો પ્રયાસ રેકોર્ડ થયો હતો।

બીજું, પેલોડ પહેલાં હેડર વાંચો

IKE હેડર સુરક્ષા પરિમાણ સૂચકાંકો, આપલેનો પ્રકાર અને સંદેશ ID ધરાવે છે, અને નવી વાટાઘાટમાં તે મૂલ્યો વિશિષ્ટ હોય છે। શરૂ કરનાર શૂન્યેતર SPI બનાવે છે, પ્રારંભિક વિનંતી ઉત્તરદાતાનો શૂન્ય SPI ધરાવે છે કારણ કે હજી કોઈ જવાબ જોયો નથી, આપલેનો પ્રકાર IKE_SA_INIT છે, અને સંદેશ ID શૂન્ય છે। બીજું જે કંઈ હોય તે એ જ વાટાઘાટના પછીના તબક્કાનું છે અથવા સાવ અલગ પ્રયાસનું।

આ પ્રથમ આપલેમાં દરખાસ્ત, ચાવી આપલે અને nonce પેલોડ ખુલ્લા રૂપમાં વાંચી શકાય છે। વાંચી શકાય તેનો અર્થ પ્રમાણિત નથી, અને આ બિંદુએ કોઈ પણ પક્ષે પોતાની ઓળખ સાબિત કરી નથી।

ખાનગી Diffie-Hellman મૂલ્ય કદી તાર પરથી પસાર થતું નથી, તેથી કેપ્ચર તમને સત્ર ચાવીઓ મેળવવા દેતું નથી। પ્રમાણીકરણ આગલી આપલેમાં થાય છે, જે પ્રથમે જે વાટાઘાટ કરી તેનાથી સુરક્ષિત છે। જો કોઈ પૂછે કે પક્ષ અસલી છે કે નહીં, તો આ આપલે એ પ્રશ્નનો જવાબ આપી શકતી નથી। તે ફક્ત એ બતાવી શકે છે કે બંને બાજુએ દરખાસ્ત પર સંમતિ આપી અને એવું સહિયારું રહસ્ય બનાવ્યું જે ફાઇલમાં નથી।

ત્રીજું, વિનંતીને તેના જવાબ સાથે મેળવો

SPI જોડી, આપલેનો પ્રકાર અને સંદેશ ID પર મેળવો, પછી જવાબ ધ્વજ તપાસો। ફરી પ્રસારણ મૂળનો સંદેશ ID પુનરાવર્તિત કરે છે અને તે બીજો લોગિન પ્રયાસ નથી। આપલેને બદલે પેકેટ ગણવા એ જ રીત છે જેમાં સ્વસ્થ વાટાઘાટ ભ્રામક લૂપ બની જાય છે।

જવાબ નકાર પણ હોઈ શકે: કૂકી વિનંતી, અસ્વીકાર્ય જૂથ સૂચના, અથવા દરખાસ્ત વિશે ભૂલ। આ કાયદેસર જવાબો છે, અને તેનો અર્થ છે કે માર્ગ કામ કરે છે જ્યારે નીતિ કામ કરતી નથી। દરેક જવાબને સફળતા ગણવાને બદલે સૂચના ડિકોડ કરો। જ્યારે સૂચના જૂથ કે દરખાસ્તનું નામ લે, ત્યારે સુધારો ફાયરવોલ પર નહીં, ગોઠવણીની બાજુએ છે।

દિશા પણ મહત્વની છે। જવાબ વગરની વિનંતી અને ક્લાયન્ટ સુધી કદી ન પહોંચતો જવાબ અલગ ખામીઓ છે, અને ફક્ત બીજી ક્લાયન્ટ બાજુની સમયમર્યાદા જેવી લાગે છે।

ચોથું, 4500 પર IKE ને બાકીના બધાથી અલગ કરો

પોર્ટ 4500 એવી ત્રણ વસ્તુઓ ધરાવે છે જે સારાંશમાં એકસરખી લાગે: ચાર-બાઇટ શૂન્ય non-ESP માર્કર પાછળ IKE, એન્કેપ્સ્યુલેટેડ ESP જેની માર્કર જગ્યાએ શૂન્યેતર SPI હોય, અને ટૂંકા keepalive। તે માર્કર જ IKE ને એન્કેપ્સ્યુલેટેડ ESP થી અલગ પાડે છે, તેથી ટ્રાફિકને IKE કહેતા પહેલાં તે બાઇટ વાંચો। 4500 વાંચતું કેપ્ચર લેબલ પોર્ટ નંબર છે, પ્રોટોકોલ નહીં।

એન્કેપ્સ્યુલેટેડ ESP એ એન્ક્રિપ્ટેડ પેલોડ છે જે ચાવી વિના સમજી શકાતું નથી, અને તેની હાજરી ખામીને બદલે કામ કરતી ટનલની નિશાની હોઈ શકે છે।

એ જ પ્રયાસ માટે બંને પોર્ટ જુઓ, કારણ કે NAT શોધ પછી IKE 4500 પર જઈ શકે છે છતાં તે 500 પર ખૂલ્યું હતું। ફક્ત 500 પર ફિલ્ટર કરેલો ટ્રેસ ત્યારે જ શાંત લાગે છે જ્યારે વાટાઘાટ સફળ થઈને જગ્યા બદલી હોય। ફિલ્ટર પહોળું કરો અને ગેરહાજરીમાંથી કોઈ નિષ્કર્ષ કાઢતા પહેલાં એ જ સમય-વિંડો ફરી વાંચો।

એક નિરીક્ષણ બિંદુ પર મૌનનો અર્થ

ક્લાયન્ટ પર જવાબ ન હોવો ફક્ત એ જ સાબિત કરે છે જે તે બિંદુએ જોયું। ફિલ્ટરિંગ, રૂટિંગ, ખોટું દૂરસ્થ સરનામું, બંધ સેવા અને પ્રોટોકોલ અસંગતિ—બધા એ જ ખાલી ટ્રેસ ઉત્પન્ન કરે છે।

સંબંધિત ICMP unreachable પુરાવો ઉમેરે છે, પરંતુ તેની અંદરના ટાંકેલા પેકેટને વાંચો અને તે મોકલનાર ઉપકરણનું સરનામું નોંધો।

રાઉટરનો નકાર એ પક્ષે પરત કરેલી પ્રમાણિત ભૂલથી અલગ ઘટના છે, અને ફક્ત બીજી જ સેવા જીવંત હોવાનું સાબિત કરે છે। એ જ પ્રયાસને સર્વર લોગ કે મંજૂર નિરીક્ષણ સાથે સાંકળો જેથી જાણી શકાય કે વિનંતી આવી અને જવાબ ગયો કે નહીં। કેપ્ચર સંકુચિત અને ખાનગી રાખો, કારણ કે વાંચી શકાય તેવા હેન્ડશેક ક્ષેત્રો ફાઇલના બાકીના ભાગને નિર્દોષ બનાવતા નથી। મૂલ્યવાન પરિણામ એ એક મેળવેલી વિનંતી અને જવાબ, અથવા નામ આપેલા નિરીક્ષણ બિંદુ સાથેનું દસ્તાવેજીકૃત અંતર છે।