Hvernig lesa á nýja IKE_SA_INIT-skiptingu í upptöku

Byrjið á upptöku sem hefst fyrir fyrstu pakka tilraunarinnar, annars eruð þið að lesa miðjan samtal. Samningaviðræður sem þegar eru í gangi sýna dulkóðuð skipti og endurnýjun lykla, og hvort tveggja lítur ekki út eins og opnunin. Opnunin er sá hluti sem þið getið afkóðað án lykla, og þess vegna svarar hún aðgengisspurningum svo vel. Fjórar athuganir í röð færa ykkur frá nýrri upptöku að varnarhæfri fullyrðingu um hvora hliðina hætti að tala.

Fyrst, staðfestið að upptakan hefjist á byrjuninni

Upptaka sem byrjuð er eftir að göngin komust upp mun innihalda umlukið gagnastreymi og regluleg keepalive, og hvort tveggja er annaðhvort dulkóðað eða næstum tómt. Endurræsið biðlarann og takið upp tilraunina sjálfa, eða kveikið viljandi á nýrri tengingu á meðan upptakan gengur. Ef þið getið ekki búið til nýja tilraun, skráið það í glósurnar, því engin afkóðun færir til baka opnun sem þið tókuð aldrei upp.

Takmarkið upptökuna við báða endapunkta og við UDP 500 og 4500 svo skráin haldist nógu lítil til að lesa. Á annasömum vélum grefur ósíuð upptaka samningaviðræðurnar undir ótengdum umferð.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Geymið skrána þegar tilraunin er áhugaverð, því sama upptakan svarar báðum eftirfarandi spurningum: hvað skiptingin var, og hvort eitthvað kom til baka. Merkið hana með byrjunartíma og því endapunkta-pari sem þið síuðuð eftir. Upptaka án þessara tveggja staðreynda er gagnslaus viku síðar, þegar heimilisföngin hafa breyst og enginn man hvaða tilraun var tekin upp.

Í öðru lagi, lesið hausinn á undan farminum

IKE-hausinn ber vísitölur öryggisfæra, tegund skiptingar og auðkenni skilaboða, og í nýjum samningaviðræðum eru þessi gildi sérkennandi. Frumkvæðisaðilinn býr til SPI sem er ekki núll, upphaflega beiðnin ber núll SPI svarenda því engin svör hafa sést enn, tegund skiptingar er IKE_SA_INIT, og auðkenni skilaboða er núll. Allt annað tilheyrir seinna stigi sömu samningaviðræðna eða allt annarri tilraun.

Tillögur, lyklaskipti og nonce-farmur í þessari fyrstu skiptingu eru læsileg í opnu. Læsilegt er ekki sannvottað, og á þessum punkti hefur hvorugt hliðin sannað auðkenni sitt.

Einkagildi Diffie-Hellman fer aldrei yfir vírinn, svo upptakan leyfir ykkur ekki að leiða setulykla. Sannvottun á sér stað í næstu skiptingu, varin af því sem fyrsta skiptingin samdi um. Ef einhver spyr hvort hliðin sé ósvikin getur þessi skipting ekki svarað þeirri spurningu. Hún getur aðeins sýnt að báðar hliðar urðu sammála um tillögu og bjuggu til sameiginlega leynd sem skráin inniheldur ekki.

Í þriðja lagi, parað beiðnina við svarið

Parrið eftir SPI-parinu, tegund skiptingar og auðkenni skilaboða, og athugið svo svarsfánann. Endursending endurtekur auðkenni skilaboða hins upprunalega og er ekki önnur innskráningartilraun. Að telja pakka í stað skiptinga er leiðin sem heilbrigðar samningaviðræður verða að draugaslykkju.

Svar getur líka verið höfnun: kexbeiðni, tilkynning um óviðunandi hóp eða villa um tillögu. Þetta eru lögmæt svör, og þau þýða að leiðin virkar á meðan stefnan gerir það ekki. Afkóðið tilkynninguna í stað þess að líta á hvert svar sem árangur. Þegar tilkynningin nefnir hóp eða tillögu er lagfæringin á stillingarhliðinni en ekki í eldveggnum.

Stefnan skiptir líka máli. Beiðni án svars og svar sem nær aldrei til biðlarans eru ólíkar bilanir, og aðeins sú seinni lítur út eins og tímamörk á biðlarahlið.

Í fjórða lagi, aðskiljið IKE frá öllu öðru á 4500

Port 4500 ber þrennt sem lítur eins út í yfirliti: IKE bak við fjögurra bæta núll non-ESP merki, umlukið ESP þar sem merkisstaðan heldur SPI sem er ekki núll, og stutt keepalive. Það er merkið sem aðskilur IKE frá umlukuðu ESP, svo lesið þá bæti áður en þið merkið umferðina IKE. Upptökumerki sem les 4500 er portnúmer, ekki siðvenja.

Umlukið ESP er dulkóðaður farmur sem þið getið ekki túlkað án lykla, og nærvera þess getur verið merki um virk göng frekar en bilun.

Fylgist með báðum portum fyrir sömu tilraun, því IKE getur flutt sig á 4500 eftir NAT-greiningu þótt það hafi opnast á 500. Slóð sem er síuð eingöngu á 500 virðist hljóðlát einmitt þegar samningaviðræðurnar tókust og fluttust. Víkkið síuna og lesið sama tímagluggann aftur áður en þið dragið nokkra ályktun af fjarveru.

Hvað þögn á einum athugunarpunkti þýðir

Ekkert svar hjá biðlaranum sannar aðeins það sem sá punkturinn sá. Síun, leiðsögn, rangt fjarheimilisfang, niðri þjónusta og ósamræmi í siðvenju gefa öll sömu tómu slóðina.

Viðeigandi ICMP unreachable bætir við sönnun, en lesið tilvitnaða pakkann inni í honum og skráið heimilisfang tækisins sem sendi hann.

Höfnun frá beini er annar atburður en sannvottuð villa sem hin hliðin skilar, og aðeins sú seinni sannar að þjónustan sé lifandi. Tengið sömu tilraun við þjónslogs eða samþykkta athugun til að vita hvort beiðnin barst og hvort svar fór út. Haldið upptökum takmörkuðum og persónulegum, því læsilegir handabandssviðir gera afganginn af skránni ekki meinlausan. Niðurstaðan sem er þess virði er eitt parað par beiðni og svars, eða eitt skjalfest bil með nefndum athugunarpunkti.