Ինչպես կարդալ նոր IKE_SA_INIT փոխանակումը գրառման մեջ

Սկսեք գրառումից, որը սկսվում է փորձի առաջին փաթեթից առաջ, այլապես կկարդաք զրույցի մեջտեղը։ Արդեն ընթացող բանակցությունը ցույց է տալիս գաղտնագրված փոխանակումներ և բանալիների նորացում, և դրանցից ոչ մեկը նման չէ բացմանը։ Բացումն այն մասն է, որը կարելի է վերծանել առանց բանալիների, և դրա համար է, որ այն այդքան լավ է պատասխանում հասանելիության հարցերին։ Չորս ստուգում հերթականությամբ ձեզ տանում են նոր գրառումից մինչև պաշտպանելի պնդում այն մասին, թե որ կողմը դադարեց խոսել։

Նախ հաստատեք, որ գրառումը սկսվում է սկզբից

Թունելի բարձրանալուց հետո սկսված գրառումը կպարունակի փաթեթավորված տվյալների հոսքը և պարբերական keepalive հաղորդագրություններ, և երկուսն էլ կա՛մ գաղտնագրված են, կա՛մ գրեթե դատարկ։ Վերագործարկեք հաճախորդը և գրանցեք հենց փորձը, կամ գրառման ընթացքում դիտավորյալ նոր կապ առաջացրեք։ Եթե չեք կարող նոր փորձ ստեղծել, գրեք այդ մասին ձեր նշումներում, որովհետև ոչ մի վերծանում չի վերականգնի այն բացումը, որը դուք երբեք չեք գրանցել։

Սահմանափակեք գրառումը երկու վերջնակետերով և UDP 500 ու 4500-ով, որպեսզի ֆայլը մնա ընթեռնելիորեն փոքր։ Զբաղված հոսթում առանց զտիչի գրառումը բանակցությունը թաղում է անկապ տրաֆիկի տակ։

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Պահեք ֆայլը, երբ փորձը հետաքրքիր է, որովհետև նույն գրառումը պատասխանում է հաջորդ երկու հարցերին՝ ինչ էր փոխանակումը, և արդյոք ինչ-որ բան վերադարձավ։ Նշեք դրա վրա մեկնարկի ժամանակը և այն վերջնակետերի զույգը, որով զտել եք։ Առանց այդ երկու փաստի գրառումը մեկ շաբաթ անց անօգուտ է, երբ հասցեները փոխվել են և ոչ ոք չի հիշում, թե որ փորձն է գրանցվել։

Երկրորդ՝ կարդացեք վերնագիրը մինչև բեռերը

IKE վերնագիրը կրում է անվտանգության պարամետրերի ինդեքսները, փոխանակման տեսակը և հաղորդագրության ID-ն, և նոր բանակցության ժամանակ այդ արժեքները տարբերակիչ են։ Նախաձեռնողը հորինում է ոչ զրոյական SPI, սկզբնական հարցումը կրում է պատասխանողի զրոյական SPI, որովհետև դեռ պատասխան չի տեսնվել, փոխանակման տեսակը IKE_SA_INIT է, իսկ հաղորդագրության ID-ն զրո է։ Մնացած ամեն ինչ պատկանում է նույն բանակցության ավելի ուշ փուլին կամ բոլորովին այլ փորձի։

Այս առաջին փոխանակման առաջարկի, բանալիների փոխանակման և nonce բեռերը ընթեռնելի են բաց տեսքով։ Ընթեռնելիությունը նույնականացում չէ, և այս պահին ոչ մի կողմ չի ապացուցել իր ինքնությունը։

Մասնավոր Diffie-Hellman արժեքը երբեք չի անցնում լարով, ուստի գրառումը թույլ չի տալիս ստանալ սեսիայի բանալիներ։ Նույնականացումը տեղի է ունենում հաջորդ փոխանակման մեջ, որը պաշտպանված է առաջինի պայմանավորվածով։ Եթե ինչ-որ մեկը հարցնի՝ կողմն իսկական է, այս փոխանակումը չի կարող պատասխանել այդ հարցին։ Այն կարող է ցույց տալ միայն, որ երկու կողմերը համաձայնել են առաջարկի շուրջ և ստեղծել են ընդհանուր գաղտնիք, որը ֆայլում չկա։

Երրորդ՝ զուգադրեք հարցումն իր պատասխանի հետ

Զուգադրեք ըստ SPI զույգի, փոխանակման տեսակի և հաղորդագրության ID-ի, ապա ստուգեք պատասխանի դրոշիչը։ Կրկնակի ուղարկումը կրկնում է բնագրի հաղորդագրության ID-ն և երկրորդ մուտքի փորձ չէ։ Փաթեթները փոխանակումների փոխարեն հաշվելը այն ուղին է, որով առողջ բանակցությունը դառնում է ուրվական օղակ։

Պատասխանը կարող է նաև մերժում լինել՝ cookie-ի հարցում, անընդունելի խմբի ծանուցում կամ առաջարկի մասին սխալ։ Դրանք օրինական պատասխաններ են, և նշանակում են, որ ուղին աշխատում է, մինչդեռ քաղաքականությունը՝ ոչ։ Վերծանեք ծանուցումը՝ փոխարենը յուրաքանչյուր պատասխան հաջողություն համարելու։ Երբ ծանուցումը նշում է խումբ կամ առաջարկ, ուղղումը կոնֆիգուրացիայի կողմում է, ոչ թե firewall-ի։

Ուղղությունը նույնպես կարևոր է։ Առանց պատասխանի հարցումը և պատասխանը, որը երբեք չի հասնում հաճախորդին, տարբեր խափանումներ են, և միայն երկրորդն է նման հաճախորդի կողմի ժամանակի սպառման։

Չորրորդ՝ 4500-ի վրա առանձնացրեք IKE-ն մնացած ամեն ինչից

4500 պորտը կրում է երեք բան, որոնք ամփոփ տեսքում նույնն են թվում՝ IKE՝ չորս բայթանոց զրոյական non-ESP նշիչի հետևում, փաթեթավորված ESP, որի նշիչի դիրքում ոչ զրոյական SPI է, և կարճ keepalive-ներ։ Հենց այդ նշիչն է բաժանում IKE-ն փաթեթավորված ESP-ից, ուստի կարդացեք այդ բայթերը նախքան տրաֆիկը IKE անվանելը։ 4500 կարդացող գրառման պիտակը պորտի համար է, ոչ թե արձանագրություն։

Փաթեթավորված ESP-ն գաղտնագրված բեռ է, որը հնարավոր չէ մեկնաբանել առանց բանալիների, և դրա առկայությունը կարող է աշխատող թունելի նշան լինել, ոչ թե խափանման։

Հետևեք երկու պորտերին նույն փորձի համար, որովհետև IKE-ն կարող է NAT-ի հայտնաբերումից հետո տեղափոխվել 4500, թեև բացվել է 500-ի վրա։ Միայն 500-ով զտված հետքը լուռ է թվում հենց այն ժամանակ, երբ բանակցությունը հաջողվել է և տեղափոխվել։ Լայնացրեք զտիչը և նորից կարդացեք նույն ժամանակային պատուհանը՝ նախքան բացակայությունից որևէ եզրակացություն անելը։

Ինչ է նշանակում լռությունը մեկ դիտարկման կետում

Հաճախորդի մոտ պատասխանի բացակայությունը ապացուցում է միայն այն, ինչ դիտարկել է այդ կետը։ Զտումը, երթուղավորումը, սխալ հեռավոր հասցեն, անջատված ծառայությունը և արձանագրության անհամապատասխանությունը բոլորը տալիս են նույն դատարկ հետքը։

Համապատասխան ICMP unreachable-ը ապացույց է ավելացնում, բայց կարդացեք դրա մեջ մեջբերված փաթեթը և նշեք այն ուղարկած սարքի հասցեն։

Երթուղիչի մերժումը տարբեր իրադարձություն է, քան կողմի վերադարձրած նույնականացված սխալը, և միայն երկրորդն է ապացուցում, որ ծառայությունը կենդանի է։ Կապակցեք նույն փորձը սերվերի մատյանների կամ հաստատված դիտարկման հետ՝ իմանալու, թե արդյոք հարցումը հասել է և արդյոք պատասխան է դուրս եկել։ Պահեք գրառումները սահմանափակ և մասնավոր, որովհետև ընթեռնելի ձեռքսեղմման դաշտերը ֆայլի մնացած մասը անվտանգ չեն դարձնում։ Արժեքավոր արդյունքը մեկ զուգադրված հարցում և պատասխան է, կամ մեկ փաստագրված բացվածք՝ անվանված դիտարկման կետով։