Cara membaca pertukaran IKE_SA_INIT baru dalam tangkapan

Mulailah dari tangkapan yang dimulai sebelum paket pertama percobaan, atau Anda akan membaca bagian tengah percakapan. Negosiasi yang sudah berjalan menampilkan pertukaran terenkripsi dan pembaruan kunci, dan keduanya tidak tampak seperti pembukaan. Pembukaan adalah bagian yang dapat Anda dekode tanpa kunci, itulah sebabnya ia menjawab pertanyaan keterjangkauan dengan baik. Empat pemeriksaan berurutan membawa Anda dari tangkapan baru ke pernyataan yang dapat dipertahankan tentang pihak mana yang berhenti berbicara.

Pertama, pastikan tangkapan dimulai dari awal

Tangkapan yang dimulai setelah terowongan naik akan berisi aliran data terenkapsulasi dan keepalive berkala, dan keduanya terenkripsi atau hampir kosong. Mulai ulang klien dan rekam percobaan itu sendiri, atau picu koneksi baru dengan sengaja saat tangkapan berjalan. Jika Anda tidak dapat menghasilkan percobaan baru, tuliskan itu di catatan Anda, karena tidak ada pendekodean yang memulihkan pembukaan yang tidak pernah Anda rekam.

Batasi tangkapan ke dua titik akhir dan ke UDP 500 dan 4500 agar berkas tetap cukup kecil untuk dibaca. Pada host yang sibuk, tangkapan tanpa penyaring mengubur negosiasi di bawah lalu lintas yang tidak terkait.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Simpan berkas saat percobaannya menarik, karena tangkapan yang sama menjawab kedua pertanyaan berikut: apa pertukarannya, dan apakah ada yang kembali. Beri label dengan waktu mulai dan pasangan titik akhir yang Anda saring. Tangkapan tanpa dua fakta itu tidak berguna seminggu kemudian, ketika alamat sudah berubah dan tidak ada yang ingat percobaan mana yang direkam.

Kedua, baca tajuk sebelum muatan

Tajuk IKE membawa indeks parameter keamanan, jenis pertukaran dan ID pesan, dan pada negosiasi baru nilai-nilai itu khas. Inisiator menciptakan SPI bukan nol, permintaan awal membawa SPI penjawab nol karena belum ada balasan yang terlihat, jenis pertukarannya IKE_SA_INIT, dan ID pesannya nol. Apa pun yang lain milik tahap berikutnya dari negosiasi yang sama atau percobaan yang sama sekali berbeda.

Muatan usulan, pertukaran kunci dan nonce pada pertukaran pertama ini dapat dibaca terbuka. Terbaca bukan berarti terautentikasi, dan pada titik ini tidak ada pihak yang membuktikan identitasnya.

Nilai Diffie-Hellman privat tidak pernah melintasi kabel, jadi tangkapan tidak memungkinkan Anda menurunkan kunci sesi. Autentikasi terjadi pada pertukaran berikutnya, dilindungi oleh apa yang dinegosiasikan pihak pertama. Jika seseorang bertanya apakah suatu pihak asli, pertukaran ini tidak dapat menjawab pertanyaan itu. Ia hanya dapat menunjukkan bahwa kedua pihak menyetujui usulan dan menghasilkan rahasia bersama yang tidak dimuat berkas.

Ketiga, cocokkan permintaan dengan balasannya

Cocokkan pada pasangan SPI, jenis pertukaran dan ID pesan, lalu periksa tanda balasan. Pengiriman ulang mengulang ID pesan asli dan bukan percobaan masuk kedua. Menghitung paket alih-alih pertukaran adalah cara negosiasi yang sehat berubah menjadi lingkar hantu.

Balasan juga bisa berupa penolakan: permintaan cookie, pemberitahuan grup yang tidak dapat diterima, atau galat tentang usulan. Itu jawaban yang sah, dan berarti jalurnya berfungsi sementara kebijakannya tidak. Dekode pemberitahuannya alih-alih menganggap setiap balasan berhasil. Ketika pemberitahuan menyebut grup atau usulan, perbaikannya ada di sisi konfigurasi, bukan di tembok api.

Arah juga penting. Permintaan tanpa balasan dan balasan yang tidak pernah sampai ke klien adalah kesalahan berbeda, dan hanya yang kedua tampak seperti batas waktu di sisi klien.

Keempat, pisahkan IKE dari segala hal lain pada 4500

Port 4500 membawa tiga hal yang tampak serupa dalam tampilan ringkas: IKE di balik penanda non-ESP nol empat bita, ESP terenkapsulasi yang posisi penandanya berisi SPI bukan nol, dan keepalive pendek. Penanda itulah yang memisahkan IKE dari ESP terenkapsulasi, jadi bacalah bita itu sebelum menyebut lalu lintasnya IKE. Label tangkapan yang membaca 4500 adalah nomor port, bukan protokol.

ESP terenkapsulasi adalah muatan terenkripsi yang tidak dapat Anda tafsirkan tanpa kunci, dan kehadirannya bisa menjadi tanda terowongan yang berfungsi, bukan kesalahan.

Pantau kedua port untuk percobaan yang sama, karena IKE dapat berpindah ke 4500 setelah deteksi NAT meskipun dibuka pada 500. Jejak yang disaring hanya pada 500 tampak senyap tepat ketika negosiasi berhasil dan berpindah. Perlebar penyaring dan baca ulang jendela waktu yang sama sebelum menarik kesimpulan apa pun dari ketiadaan.

Apa arti kesenyapan pada satu titik pengamatan

Tidak ada balasan di klien hanya membuktikan apa yang diamati titik itu. Penyaringan, perutean, alamat jauh yang salah, layanan yang mati dan ketidakcocokan protokol semuanya menghasilkan jejak kosong yang sama.

ICMP unreachable yang relevan menambah bukti, tetapi baca paket yang dikutip di dalamnya dan catat alamat perangkat yang mengirimnya.

Penolakan router adalah peristiwa berbeda dari galat terautentikasi yang dikembalikan pihak lain, dan hanya yang kedua membuktikan layanan masih hidup. Korelasikan percobaan yang sama dengan log server atau pengamatan yang disetujui untuk mengetahui apakah permintaan tiba dan apakah balasan keluar. Jaga tangkapan tetap terbatas dan privat, karena bidang jabat tangan yang terbaca tidak membuat sisa berkas menjadi tidak berbahaya. Hasil yang layak dimiliki adalah satu permintaan dan balasan yang cocok, atau satu celah terdokumentasi dengan titik pengamatan bernama.