Kako čitati svježu IKE_SA_INIT razmjenu u snimku

Počnite od snimke koja počinje prije prvog paketa pokušaja, inače ćete čitati sredinu razgovora. Pregovaranje koje već traje pokazuje šifrirane razmjene i obnavljanja ključeva, a nijedno ne izgleda kao otvaranje. Otvaranje je dio koji možete dekodirati bez ključeva, zato tako dobro odgovara na pitanja o dostupnosti. Četiri provjere po redu vode vas od svježe snimke do održive tvrdnje o tome koja je strana prestala govoriti.

Prvo, potvrdite da snimka počinje na početku

Snimka pokrenuta nakon što se tunel podigao sadržavat će inkapsulirani tok podataka i periodične keepalive poruke, a oboje je ili šifrirano ili gotovo prazno. Ponovo pokrenite klijent i snimite sam pokušaj ili namjerno izazovite novu vezu dok snimka traje. Ako ne možete proizvesti svjež pokušaj, zapišite to u bilješke, jer nikakvo dekodiranje ne vraća otvaranje koje nikada niste snimili.

Ograničite snimku na dvije krajnje točke i na UDP 500 i 4500 kako bi datoteka ostala dovoljno mala za čitanje. Na zauzetom hostu nefiltrirana snimka zakopava pregovaranje pod nepovezanim prometom.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Sačuvajte datoteku kad je pokušaj zanimljiv, jer ista snimka odgovara na oba sljedeća pitanja: što je razmjena bila i je li se išta vratilo. Označite je vremenom početka i parom krajnjih točaka po kojima ste filtrirali. Snimka bez te dvije činjenice beskorisna je tjedan kasnije, kad se adrese promijene i nitko se ne sjeća koji je pokušaj snimljen.

Drugo, pročitajte zaglavlje prije korisnog tereta

IKE zaglavlje nosi indekse sigurnosnih parametara, tip razmjene i ID poruke, a u novom pregovaranju te su vrijednosti prepoznatljive. Inicijator izmišlja SPI različit od nule, početni zahtjev nosi SPI odgovarača nula jer odgovor još nije viđen, tip razmjene je IKE_SA_INIT, a ID poruke je nula. Sve ostalo pripada kasnijoj fazi istog pregovaranja ili posve drugom pokušaju.

Prijedlog, razmjena ključeva i nonce tereti u ovoj prvoj razmjeni čitljivi su u otvorenom obliku. Čitljivost nije autentikacija i u ovom trenutku nijedna strana nije dokazala svoj identitet.

Privatna Diffie-Hellman vrijednost nikada ne prelazi žicu, pa vam snimka ne dopušta izvođenje sesijskih ključeva. Autentikacija se događa u sljedećoj razmjeni, zaštićena onim što je prva razmjena dogovorila. Ako netko pita je li strana stvarna, ova razmjena ne može odgovoriti na to pitanje. Može samo pokazati da su se obje strane složile o prijedlogu i stvorile zajedničku tajnu koju datoteka ne sadrži.

Treće, uparite zahtjev s njegovim odgovorom

Uparite po paru SPI, tipu razmjene i ID-u poruke, zatim provjerite zastavicu odgovora. Ponovno slanje ponavlja ID poruke izvornika i nije drugi pokušaj prijave. Brojanje paketa umjesto razmjena jest način na koji se zdravo pregovaranje pretvara u fantomsku petlju.

Odgovor može biti i odbijanje: zahtjev za kolačićem, obavijest o neprihvatljivoj grupi ili pogreška o prijedlogu. To su legitimni odgovori i znače da put radi dok pravilo ne radi. Dekodirajte obavijest umjesto da svaki odgovor smatrate uspjehom. Kad obavijest navede grupu ili prijedlog, popravak je na strani konfiguracije, a ne na vatrozidu.

Smjer je također važan. Zahtjev bez odgovora i odgovor koji nikada ne stigne do klijenta različite su greške, a samo druga izgleda kao istek na strani klijenta.

Četvrto, odvojite IKE od svega ostalog na 4500

Port 4500 nosi tri stvari koje u sažetom pregledu izgledaju jednako: IKE iza četverobajtnog nultog non-ESP markera, inkapsulirani ESP čija pozicija markera drži SPI različit od nule, i kratke keepalive poruke. Taj marker odvaja IKE od inkapsuliranog ESP-a, zato pročitajte te bajtove prije nego promet nazovete IKE. Oznaka snimke koja čita 4500 je broj porta, a ne protokol.

Inkapsulirani ESP je šifrirani teret koji ne možete protumačiti bez ključeva, a njegova prisutnost može biti znak ispravnog tunela, a ne greške.

Promatrajte oba porta za isti pokušaj, jer se IKE može preseliti na 4500 nakon otkrivanja NAT-a iako se otvorio na 500. Trag filtriran samo na 500 izgleda tih upravo kad pregovaranje uspije i preseli se. Proširite filtar i ponovno pročitajte isti vremenski prozor prije nego iz odsutnosti izvučete bilo kakav zaključak.

Što tišina na jednoj točki promatranja znači

Nema odgovora na klijentu dokazuje samo ono što je ta točka promatrala. Filtriranje, usmjeravanje, pogrešna udaljena adresa, servis koji ne radi i nesuglasje protokola daju isti prazan trag.

Relevantan ICMP unreachable dodaje dokaz, ali pročitajte citirani paket u njemu i zabilježite adresu uređaja koji ga je poslao.

Odbijanje usmjerivača drukčiji je događaj od autenticirane pogreške koju vrati strana, i samo druga dokazuje da je servis živ. Povežite isti pokušaj s poslužiteljskim zapisima ili odobrenim promatranjem kako biste saznali je li zahtjev stigao i je li odgovor otišao. Držite snimke ograničenima i privatnima, jer čitljiva polja rukovanja ne čine ostatak datoteke bezopasnim. Rezultat koji vrijedi jest jedan upareni zahtjev i odgovor ili jedna dokumentirana praznina s imenovanom točkom promatranja.