Yadda za a karanta sabon musayar IKE_SA_INIT a cikin rikodin

Fara daga rikodin da ya fara kafin fakitin farko na yunƙurin, in ba haka ba za ka karanta tsakiyar tattaunawa. Tattaunawar da ke gudana tuni tana nuna musanya masu ɓoyewa da sabunta maɓalli, kuma babu ɗayansu da ya yi kama da buɗewa. Buɗewar ita ce sashin da za ka iya warwarewa ba tare da maɓalli ba, shi ya sa yake amsa tambayoyin isa sosai. Bincike huɗu a jere suna kai ka daga sabon rikodi zuwa wata magana mai karewa kan wane ɓangare ya daina magana.

Na farko, tabbatar cewa rikodin ya fara daga farko

Rikodin da aka fara bayan tunnel ɗin ya tashi zai ƙunshi rafin bayanan da aka lulluɓe da keepalive na lokaci-lokaci, kuma dukansu ko an ɓoye su ne ko kusan fanko. Sake kunna abokin ciniki ka rikodi yunƙurin da kansa, ko ka haifar da sabuwar haɗi da gangan yayin da rikodin ke gudana. Idan ba za ka iya samar da sabon yunƙuri ba, faɗi haka a cikin bayananka, domin babu wani warwarewa da zai dawo da buɗewar da ba ka taɓa rikoda ba.

Iyakance rikodin zuwa ƙarshen biyu da UDP 500 da 4500 domin fayil ɗin ya kasance ƙanƙane isa a karanta. A kan na'ura mai aiki, rikodin da ba shi da tacewa yana binne tattaunawar ƙarƙashin zirga-zirgar da ba ta da alaƙa.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Ajiye fayil ɗin sa'ad da yunƙurin yake da ban sha'awa, domin wannan rikodin ɗaya yana amsa tambayoyin biyu masu zuwa: menene musanyar, kuma ko wani abu ya dawo. Yi masa alama da lokacin farawa da ma'auratan ƙarshen da ka tace a kansu. Rikodin da ba shi da waɗannan gaskiyoyin biyu ba shi da amfani bayan mako ɗaya, sa'ad da adiresoshin sun canza kuma babu wanda ya tuna wane yunƙuri ya rikoda.

Na biyu, karanta kan kafin ɗaukar nauyin

Kan IKE yana ɗauke da alamomin sigar tsaro, nau'in musanya da ID na saƙo, kuma a sabuwar tattaunawa waɗannan ƙididdiga sun bambanta. Wanda ya fara yana ƙirƙira SPI wanda ba sifili ba, buƙatar farko tana ɗauke da SPI na mai amsawa sifili domin ba a ga amsa ba tukuna, nau'in musanya shine IKE_SA_INIT, kuma ID na saƙo sifili ne. Duk wani abu kuma na wani mataki na gaba na wannan tattaunawa ne ko na wani yunƙuri daban.

Nauyin shawara, musayar maɓalli da nonce a wannan musanya ta farko ana iya karanta su a fili. Karantawa ba yana nufin an tabbatar ba, kuma a wannan matakin babu ɓangaren da ya tabbatar da asalinsa.

Ƙimar Diffie-Hellman ta sirri ba ta taɓa ratsa waya, don haka rikodin ba ya ba ka damar samo maɓallan zama. Tabbatarwa tana faruwa a musanya ta gaba, wanda aka kare shi da abin da na farko ya tattauna. Idan wani ya tambaya ko ɓangare na gaske ne, wannan musanya ba za ta iya amsa wannan tambayar ba. Zai iya nuna kawai cewa ɓangarorin biyu sun amince da shawara kuma sun samar da sirri na tarayya wanda fayil ɗin ba ya ƙunshe.

Na uku, daidaita buƙatar da amsarta

Daidaita bisa ma'auratan SPI, nau'in musanya da ID na saƙo, sannan duba tutar amsa. Sake aikawa yana maimaita ID na saƙon asali kuma ba yunƙurin shiga na biyu ba ne. Ƙirga fakiti maimakon musanya shine yadda ingantacciyar tattaunawa ke juya zuwa madauki na fatalwa.

Amsa kuma tana iya zama ƙi: buƙatar kuki, sanarwar rukuni da ba a yarda da ita ba, ko kuskure game da shawara. Waɗannan amsoshi ne na halal, kuma suna nufin hanyar tana aiki yayin da manufar ba ta aiki. Warware sanarwar maimakon ɗaukar kowace amsa a matsayin nasara. Lokacin da sanarwar ta ambaci rukuni ko shawara, gyaran yana gefen tsari ne ba a bangon wuta ba.

Hanyar kuma tana da muhimmanci. Buƙata marar amsa da amsa da ba ta taɓa isa abokin ciniki ba ne daban-daban, kuma na biyu ne kawai yake kama da ƙarewar lokaci daga gefen abokin ciniki.

Na huɗu, raba IKE daga duk wani abu a kan 4500

Tashar 4500 tana ɗauke da abubuwa uku da suke kama a taƙaitaccen kallo: IKE bayan alamar non-ESP sifili ta bait huɗu, ESP da aka lulluɓe wanda matsayin alamar sa ke ɗauke da SPI wanda ba sifili ba, da gajerun keepalive. Wannan alamar ce ke raba IKE daga ESP da aka lulluɓe, don haka karanta waɗannan bait ɗin kafin ka kira zirga-zirgar IKE. Alamar rikodi da ke karanta 4500 lambar tasha ce, ba yarjejeniya ba.

ESP da aka lulluɓe nauyin da aka ɓoye ne wanda ba za ka iya fassara shi ba tare da maɓalli ba, kuma kasancewar sa na iya zama alamar tunnel mai aiki maimakon kuskure.

Kula da tashoshi biyu don yunƙuri ɗaya, domin IKE na iya ƙaura zuwa 4500 bayan gano NAT ko da ya buɗe a kan 500. Wata alama da aka tace a kan 500 kawai tana kama da shiru daidai lokacin da tattaunawar ta yi nasara kuma ta ƙaura. Faɗaɗa tacewar kuma sake karanta wannan taga lokaci kafin ka yanke wata shawara daga rashi.

Abin da shiru a wuri ɗaya na lura yake nufi

Babu amsa a wurin abokin ciniki yana tabbatar da abin da wannan wurin ya lura kawai. Tacewa, turawa, adireshin nesa mara daidai, sabis ɗin da ya tsaya da rashin daidaiton yarjejeniya duk suna samar da wannan alama marar komai.

ICMP unreachable mai dacewa yana ƙara hujja, amma karanta fakitin da aka ambata a cikinsa ka lura da adireshin na'urar da ta aika shi.

Ƙin na'urar turawa wani lamari ne daban daga kuskuren da aka tabbatar da ɓangaren ya mayar, kuma na biyu ne kawai ke tabbatar da sabis ɗin yana raye. Haɗa wannan yunƙuri da tarihin uwar garke ko wata lura da aka yarda da ita don sanin ko buƙatar ta iso kuma ko amsa ta fita. Riƙe rikodin a iyaka kuma a sirri, domin filayen musafaha da ake karantawa ba sa sa sauran fayil ɗin marar lahani. Sakamakon da ya cancanci a samu shine buƙata da amsa da aka daidaita, ko wata gibin da aka rubuta tare da sunan wurin lura.