როგორ წავიკითხოთ ახალი IKE_SA_INIT გაცვლა ჩანაწერში

დაიწყეთ ჩანაწერით, რომელიც იწყება ცდის პირველ პაკეტამდე, თორემ საუბრის შუაგულს წაიკითხავთ. უკვე მიმდინარე მოლაპარაკება აჩვენებს დაშიფრულ გაცვლებს და გასაღების განახლებას და არც ერთი მათგანი არ ჰგავს გახსნას. გახსნა ის ნაწილია, რომლის გაშიფვრაც გასაღებების გარეშე შეიძლება და ამიტომ პასუხობს ხელმისაწვდომობის კითხვებს ასე კარგად. ზედიზედ ოთხი შემოწმება გიყვანთ ახალი ჩანაწერიდან იმ მტკიცებამდე, თუ რომელი მხარე შეწყვიტა ლაპარაკი.

ჯერ დაადასტურეთ, რომ ჩანაწერი დასაწყისიდან იწყება

გვირაბის ამოწევის შემდეგ დაწყებული ჩანაწერი შეიცავს შეფუთულ მონაცემთა ნაკადს და პერიოდულ keepalive-ებს და ორივე ან დაშიფრულია, ან თითქმის ცარიელი. გადატვირთეთ კლიენტი და ჩაწერეთ თავად ცდა, ან განზრახ გამოიწვიეთ ახალი კავშირი ჩანაწერის მსვლელობისას. თუ ახალი ცდის შექმნა არ შეგიძლიათ, ჩაწერეთ ეს შენიშვნებში, რადგან არც ერთი გაშიფვრა არ აბრუნებს იმ გახსნას, რომელიც არასდროს ჩაწერეთ.

შეზღუდეთ ჩანაწერი ორი ბოლო წერტილით და UDP 500 და 4500-ით, რომ ფაილი წასაკითხად პატარა დარჩეს. დატვირთულ ჰოსტზე ფილტრის გარეშე ჩანაწერი მოლაპარაკებას უკავშირო ტრაფიკის ქვეშ მარხავს.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

შეინახეთ ფაილი, როცა ცდა საინტერესოა, რადგან იგივე ჩანაწერი პასუხობს ორივე მომდევნო კითხვას: რა იყო გაცვლა და დაბრუნდა თუ არა რამე. მონიშნეთ იგი დაწყების დროით და იმ ბოლო წერტილების წყვილით, რომელზეც გაფილტრეთ. ამ ორი ფაქტის გარეშე ჩანაწერი კვირაში უსარგებლოა, როცა მისამართები შეიცვალა და არავის ახსოვს, რომელი ცდა ჩაიწერა.

მეორე, წაიკითხეთ სათაური დატვირთვებამდე

IKE-ის სათაური ატარებს უსაფრთხოების პარამეტრის ინდექსებს, გაცვლის ტიპს და შეტყობინების ID-ს და ახალ მოლაპარაკებაში ეს მნიშვნელობები გამორჩეულია. ინიციატორი იგონებს არანულოვან SPI-ს, საწყისი მოთხოვნა ატარებს პასუხისმგებლის ნულოვან SPI-ს, რადგან ჯერ პასუხი არ ჩანს, გაცვლის ტიპია IKE_SA_INIT, ხოლო შეტყობინების ID არის ნული. დანარჩენი ყველაფერი იმავე მოლაპარაკების გვიან ეტაპს ან სრულიად სხვა ცდას ეკუთვნის.

ამ პირველ გაცვლაში წინადადების, გასაღების გაცვლის და nonce-ის დატვირთვები ღიად იკითხება. წაკითხვადობა ავთენტიფიკაცია არ არის და ამ ეტაპზე არც ერთ მხარეს არ დაუმტკიცებია საკუთარი ვინაობა.

პირადი Diffie-Hellman მნიშვნელობა არასდროს კვეთს მავთულს, ამიტომ ჩანაწერი სესიის გასაღებების გამოყვანის საშუალებას არ გაძლევთ. ავთენტიფიკაცია ხდება შემდეგ გაცვლაში, რომელიც დაცულია იმით, რაზეც პირველი შეთანხმდა. თუ ვინმე იკითხავს, ნამდვილია თუ არა მხარე, ეს გაცვლა ვერ უპასუხებს ამ კითხვას. მას მხოლოდ იმის ჩვენება შეუძლია, რომ ორივე მხარე შეთანხმდა წინადადებაზე და შექმნა საერთო საიდუმლო, რომელიც ფაილში არ არის.

მესამე, შეუსაბამეთ მოთხოვნა მის პასუხს

შეუსაბამეთ SPI-ის წყვილით, გაცვლის ტიპით და შეტყობინების ID-ით, შემდეგ შეამოწმეთ პასუხის დროშა. ხელახალი გაგზავნა იმეორებს ორიგინალის შეტყობინების ID-ს და მეორე შესვლის ცდა არ არის. პაკეტების დათვლა გაცვლების ნაცვლად ის გზაა, რომლითაც ჯანსაღი მოლაპარაკება ფანტომურ ციკლად იქცევა.

პასუხი შეიძლება უარიც იყოს: cookie-ს მოთხოვნა, მიუღებელი ჯგუფის შეტყობინება ან წინადადების შესახებ შეცდომა. ეს ლეგიტიმური პასუხებია და ნიშნავს, რომ გზა მუშაობს, ხოლო პოლიტიკა არა. გაშიფრეთ შეტყობინება იმის ნაცვლად, რომ ყოველი პასუხი წარმატებად ჩათვალოთ. როცა შეტყობინება ასახელებს ჯგუფს ან წინადადებას, შესწორება კონფიგურაციის მხარესაა და არა firewall-ზე.

მიმართულებასაც აქვს მნიშვნელობა. პასუხის გარეშე მოთხოვნა და პასუხი, რომელიც არასდროს აღწევს კლიენტამდე, სხვადასხვა გაუმართაობაა და მხოლოდ მეორე ჰგავს კლიენტის მხრიდან დროის ამოწურვას.

მეოთხე, გამოყავით IKE ყველა დანარჩენისგან 4500-ზე

4500 პორტი ატარებს სამ რამეს, რომლებიც შემაჯამებელ ხედში ერთნაირად გამოიყურება: IKE ოთხბაიტიანი ნულოვანი non-ESP მარკერის უკან, შეფუთული ESP, რომლის მარკერის ადგილზე არანულოვანი SPI არის, და მოკლე keepalive-ები. სწორედ ეს მარკერი ჰყოფს IKE-ს შეფუთული ESP-ისგან, ამიტომ წაიკითხეთ ეს ბაიტები სანამ ტრაფიკს IKE-ს უწოდებთ. 4500-ის მკითხველი ჩანაწერის იარლიყი პორტის ნომერია და არა პროტოკოლი.

შეფუთული ESP დაშიფრული დატვირთვაა, რომელსაც გასაღებების გარეშე ვერ განმარტავთ და მისი არსებობა შეიძლება მუშა გვირაბის ნიშანი იყოს და არა გაუმართაობის.

თვალი ადევნეთ ორივე პორტს იმავე ცდისთვის, რადგან IKE შეიძლება გადავიდეს 4500-ზე NAT-ის აღმოჩენის შემდეგ, თუმცა 500-ზე გაიხსნა. მხოლოდ 500-ზე გაფილტრული კვალი ჩუმად გამოიყურება ზუსტად მაშინ, როცა მოლაპარაკება წარმატებით დასრულდა და გადაადგილდა. გააფართოეთ ფილტრი და ხელახლა წაიკითხეთ იგივე დროის ფანჯარა, სანამ არყოფნიდან რაიმე დასკვნას გამოიტანთ.

რას ნიშნავს სიჩუმე ერთ დაკვირვების წერტილზე

კლიენტთან პასუხის არარსებობა მხოლოდ იმას ამტკიცებს, რაც ამ წერტილმა დააკვირდა. ფილტრაცია, მარშრუტიზაცია, არასწორი დისტანციური მისამართი, გამორთული სერვისი და პროტოკოლის შეუთანხმებლობა ყველა ერთსა და იმავე ცარიელ კვალს იძლევა.

შესაბამისი ICMP unreachable მტკიცებულებას ამატებს, მაგრამ წაიკითხეთ მასში ციტირებული პაკეტი და ჩაიწერეთ მისი გამომგზავნი მოწყობილობის მისამართი.

მარშრუტიზატორის უარი სხვა მოვლენაა, ვიდრე მხარის მიერ დაბრუნებული ავთენტიფიცირებული შეცდომა და მხოლოდ მეორე ამტკიცებს, რომ სერვისი ცოცხალია. დააკავშირეთ იგივე ცდა სერვერის ჟურნალებს ან დამტკიცებულ დაკვირვებას, რომ გაიგოთ მოვიდა თუ არა მოთხოვნა და გავიდა თუ არა პასუხი. შეინახეთ ჩანაწერები შეზღუდული და პირადი, რადგან წაკითხვადი ხელის ჩამორთმევის ველები ფაილის დანარჩენ ნაწილს უვნებელს არ ხდის. ღირებული შედეგია ერთი დაწყვილებული მოთხოვნა და პასუხი, ან ერთი დოკუმენტირებული ხარვეზი დასახელებული დაკვირვების წერტილით.