ಕ್ಯಾಪ್ಚರ್ನಲ್ಲಿ ಹೊಸ IKE_SA_INIT ವಿನಿಮಯವನ್ನು ಹೇಗೆ ಓದುವುದು

ಪ್ರಯತ್ನದ ಮೊದಲ ಪ್ಯಾಕೆಟ್ಗಿಂತ ಮೊದಲು ಪ್ರಾರಂಭವಾಗುವ ಕ್ಯಾಪ್ಚರ್ನಿಂದ ಪ್ರಾರಂಭಿಸಿ, ಇಲ್ಲದಿದ್ದರೆ ನೀವು ಸಂಭಾಷಣೆಯ ಮಧ್ಯವನ್ನು ಓದುತ್ತೀರಿ। ಈಗಾಗಲೇ ನಡೆಯುತ್ತಿರುವ ಮಾತುಕತೆ ಎನ್ಕ್ರಿಪ್ಟ್ ಆದ ವಿನಿಮಯಗಳನ್ನು ಮತ್ತು ಕೀ ನವೀಕರಣಗಳನ್ನು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಆರಂಭದಂತೆ ಕಾಣುವುದಿಲ್ಲ। ಆರಂಭವು ಕೀಲಿಗಳಿಲ್ಲದೆ ಡಿಕೋಡ್ ಮಾಡಬಹುದಾದ ಭಾಗ, ಆದ್ದರಿಂದ ಅದು ತಲುಪುವಿಕೆಯ ಪ್ರಶ್ನೆಗಳಿಗೆ ಚೆನ್ನಾಗಿ ಉತ್ತರಿಸುತ್ತದೆ। ಕ್ರಮವಾಗಿ ನಾಲ್ಕು ಪರಿಶೀಲನೆಗಳು ನಿಮ್ಮನ್ನು ತಾಜಾ ಕ್ಯಾಪ್ಚರ್ನಿಂದ ಯಾವ ಬದಿ ಮಾತನಾಡುವುದನ್ನು ನಿಲ್ಲಿಸಿತು ಎಂಬ ಸಮರ್ಥನೀಯ ಹೇಳಿಕೆಗೆ ಕರೆದೊಯ್ಯುತ್ತವೆ।

ಮೊದಲು, ಕ್ಯಾಪ್ಚರ್ ಆರಂಭದಿಂದಲೇ ಪ್ರಾರಂಭವಾಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ

ಸುರಂಗ ಏರಿದ ನಂತರ ಪ್ರಾರಂಭವಾದ ಕ್ಯಾಪ್ಚರ್ನಲ್ಲಿ ಸುತ್ತುವರಿದ ದತ್ತಾಂಶ ಸ್ಟ್ರೀಮ್ ಮತ್ತು ನಿಯತಕಾಲಿಕ keepaliveಗಳು ಇರುತ್ತವೆ, ಮತ್ತು ಎರಡೂ ಎನ್ಕ್ರಿಪ್ಟ್ ಆಗಿವೆ ಅಥವಾ ಬಹುತೇಕ ಖಾಲಿಯಾಗಿವೆ। ಕ್ಲೈಂಟ್ ಅನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿ ಮತ್ತು ಪ್ರಯತ್ನವನ್ನೇ ರೆಕಾರ್ಡ್ ಮಾಡಿ, ಅಥವಾ ಕ್ಯಾಪ್ಚರ್ ಚಾಲನೆಯಲ್ಲಿರುವಾಗ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಹೊಸ ಸಂಪರ್ಕವನ್ನು ಪ್ರೇರೇಪಿಸಿ। ನೀವು ತಾಜಾ ಪ್ರಯತ್ನವನ್ನು ಉತ್ಪಾದಿಸಲು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ ಅದನ್ನು ನಿಮ್ಮ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಬರೆಯಿರಿ, ಏಕೆಂದರೆ ನೀವು ಎಂದೂ ರೆಕಾರ್ಡ್ ಮಾಡದ ಆರಂಭವನ್ನು ಯಾವುದೇ ಡಿಕೋಡಿಂಗ್ ಮರಳಿ ತರುವುದಿಲ್ಲ।

ಕ್ಯಾಪ್ಚರ್ ಅನ್ನು ಎರಡು ತುದಿ ಬಿಂದುಗಳಿಗೆ ಮತ್ತು UDP 500 ಹಾಗೂ 4500ಕ್ಕೆ ಸೀಮಿತಗೊಳಿಸಿ, ಫೈಲ್ ಓದಲು ಸಾಕಷ್ಟು ಚಿಕ್ಕದಾಗಿರಲಿ। ಕಾರ್ಯನಿರತ ಹೋಸ್ಟ್ನಲ್ಲಿ ಫಿಲ್ಟರ್ ಇಲ್ಲದ ಕ್ಯಾಪ್ಚರ್ ಮಾತುಕತೆಯನ್ನು ಸಂಬಂಧವಿಲ್ಲದ ಟ್ರಾಫಿಕ್ ಅಡಿಯಲ್ಲಿ ಹೂಳುತ್ತದೆ।

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

ಪ್ರಯತ್ನ ಆಸಕ್ತಿದಾಯಕವಾದಾಗ ಫೈಲ್ ಉಳಿಸಿ, ಏಕೆಂದರೆ ಅದೇ ಕ್ಯಾಪ್ಚರ್ ಮುಂದಿನ ಎರಡೂ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ: ವಿನಿಮಯ ಏನಾಗಿತ್ತು, ಮತ್ತು ಏನಾದರೂ ಹಿಂತಿರುಗಿ ಬಂತೇ। ಅದರ ಮೇಲೆ ಪ್ರಾರಂಭದ ಸಮಯ ಮತ್ತು ನೀವು ಫಿಲ್ಟರ್ ಮಾಡಿದ ತುದಿ ಬಿಂದು ಜೋಡಿಯನ್ನು ಬರೆಯಿರಿ। ಈ ಎರಡು ಸಂಗತಿಗಳಿಲ್ಲದ ಕ್ಯಾಪ್ಚರ್ ಒಂದು ವಾರದ ನಂತರ ನಿರುಪಯುಕ್ತ, ವಿಳಾಸಗಳು ಬದಲಾಗಿ ಯಾವ ಪ್ರಯತ್ನ ರೆಕಾರ್ಡ್ ಆಯಿತು ಎಂದು ಯಾರಿಗೂ ನೆನಪಿಲ್ಲದಿರುವಾಗ।

ಎರಡನೆಯದಾಗಿ, ಪೇಲೋಡ್ಗಳ ಮೊದಲು ಹೆಡರ್ ಓದಿ

IKE ಹೆಡರ್ ಭದ್ರತಾ ನಿಯತಾಂಕ ಸೂಚ್ಯಂಕಗಳನ್ನು, ವಿನಿಮಯದ ಪ್ರಕಾರ ಮತ್ತು ಸಂದೇಶ ID ಅನ್ನು ಹೊತ್ತೊಯ್ಯುತ್ತದೆ, ಮತ್ತು ಹೊಸ ಮಾತುಕತೆಯಲ್ಲಿ ಈ ಮೌಲ್ಯಗಳು ವಿಶಿಷ್ಟವಾಗಿರುತ್ತವೆ। ಆರಂಭಿಸುವವರು ಶೂನ್ಯವಲ್ಲದ SPI ರಚಿಸುತ್ತದೆ, ಆರಂಭಿಕ ವಿನಂತಿ ಉತ್ತರದಾತನ ಶೂನ್ಯ SPI ಹೊತ್ತೊಯ್ಯುತ್ತದೆ ಏಕೆಂದರೆ ಇನ್ನೂ ಯಾವುದೇ ಉತ್ತರ ಕಂಡಿಲ್ಲ, ವಿನಿಮಯದ ಪ್ರಕಾರ IKE_SA_INIT, ಮತ್ತು ಸಂದೇಶ ID ಶೂನ್ಯ। ಉಳಿದ ಯಾವುದೇ ವಿಷಯ ಅದೇ ಮಾತುಕತೆಯ ಮುಂದಿನ ಹಂತದ್ದು ಅಥವಾ ಸಂಪೂರ್ಣ ಬೇರೆ ಪ್ರಯತ್ನದ್ದು।

ಈ ಮೊದಲ ವಿನಿಮಯದಲ್ಲಿನ ಪ್ರಸ್ತಾವ, ಕೀ ವಿನಿಮಯ ಮತ್ತು nonce ಪೇಲೋಡ್ಗಳು ತೆರೆದ ರೂಪದಲ್ಲಿ ಓದಬಹುದಾಗಿವೆ। ಓದಬಹುದಾದುದು ದೃಢೀಕೃತ ಎಂದಲ್ಲ, ಮತ್ತು ಈ ಹಂತದಲ್ಲಿ ಯಾವ ಪಕ್ಷವೂ ತನ್ನ ಗುರುತನ್ನು ಸಾಬೀತುಪಡಿಸಿಲ್ಲ।

ಖಾಸಗಿ Diffie-Hellman ಮೌಲ್ಯ ಎಂದೂ ತಂತಿಯ ಮೇಲೆ ಹಾದುಹೋಗುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಕ್ಯಾಪ್ಚರ್ ನಿಮಗೆ ಸೆಷನ್ ಕೀಗಳನ್ನು ಪಡೆಯಲು ಅವಕಾಶ ನೀಡುವುದಿಲ್ಲ। ದೃಢೀಕರಣ ಮುಂದಿನ ವಿನಿಮಯದಲ್ಲಿ ನಡೆಯುತ್ತದೆ, ಇದು ಮೊದಲನೆಯದು ಒಪ್ಪಿಕೊಂಡದ್ದರಿಂದ ರಕ್ಷಿಸಲ್ಪಟ್ಟಿದೆ। ಯಾರಾದರೂ ಪಕ್ಷ ನಿಜವೇ ಎಂದು ಕೇಳಿದರೆ, ಈ ವಿನಿಮಯ ಆ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸಲಾರದು। ಇದು ಕೇವಲ ಎರಡೂ ಬದಿಗಳು ಪ್ರಸ್ತಾವಕ್ಕೆ ಒಪ್ಪಿ, ಫೈಲ್ನಲ್ಲಿ ಇಲ್ಲದ ಹಂಚಿದ ರಹಸ್ಯವನ್ನು ರಚಿಸಿದ್ದನ್ನು ತೋರಿಸಬಲ್ಲದು।

ಮೂರನೆಯದಾಗಿ, ವಿನಂತಿಯನ್ನು ಅದರ ಉತ್ತರದೊಂದಿಗೆ ಹೊಂದಿಸಿ

SPI ಜೋಡಿ, ವಿನಿಮಯದ ಪ್ರಕಾರ ಮತ್ತು ಸಂದೇಶ ID ಮೇಲೆ ಹೊಂದಿಸಿ, ನಂತರ ಉತ್ತರದ ಧ್ವಜವನ್ನು ಪರಿಶೀಲಿಸಿ। ಮರುಪ್ರಸಾರವು ಮೂಲದ ಸಂದೇಶ ID ಅನ್ನು ಪುನರಾವರ್ತಿಸುತ್ತದೆ ಮತ್ತು ಎರಡನೇ ಲಾಗಿನ್ ಪ್ರಯತ್ನವಲ್ಲ। ವಿನಿಮಯಗಳ ಬದಲು ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಎಣಿಸುವುದು ಆರೋಗ್ಯಕರ ಮಾತುಕತೆಯನ್ನು ಭ್ರಾಮಕ ಚಕ್ರವಾಗಿಸುವ ದಾರಿ।

ಉತ್ತರ ನಿರಾಕರಣೆಯೂ ಆಗಿರಬಹುದು: ಕುಕಿ ವಿನಂತಿ, ಸ್ವೀಕಾರಾರ್ಹವಲ್ಲದ ಗುಂಪಿನ ಅಧಿಸೂಚನೆ, ಅಥವಾ ಪ್ರಸ್ತಾವದ ಬಗ್ಗೆ ದೋಷ। ಇವು ಕಾನೂನುಬದ್ಧ ಉತ್ತರಗಳು, ಮತ್ತು ಮಾರ್ಗ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತಿದೆ ಆದರೆ ನೀತಿ ಇಲ್ಲ ಎಂದರ್ಥ। ಪ್ರತಿ ಉತ್ತರವನ್ನೂ ಯಶಸ್ಸು ಎಂದು ಪರಿಗಣಿಸುವ ಬದಲು ಅಧಿಸೂಚನೆಯನ್ನು ಡಿಕೋಡ್ ಮಾಡಿ। ಅಧಿಸೂಚನೆ ಗುಂಪು ಅಥವಾ ಪ್ರಸ್ತಾವದ ಹೆಸರು ಹೇಳಿದಾಗ, ಸರಿಪಡಿಸುವಿಕೆ ಫೈರ್ವಾಲ್ನಲ್ಲಿ ಅಲ್ಲ, ಸಂರಚನೆಯ ಕಡೆ।

ದಿಕ್ಕೂ ಮುಖ್ಯ। ಉತ್ತರವಿಲ್ಲದ ವಿನಂತಿ ಮತ್ತು ಕ್ಲೈಂಟ್ಗೆ ಎಂದೂ ತಲುಪದ ಉತ್ತರ ವಿಭಿನ್ನ ದೋಷಗಳು, ಮತ್ತು ಎರಡನೆಯದು ಮಾತ್ರ ಕ್ಲೈಂಟ್ ಕಡೆಯ ಕಾಲಮಿತಿಯಂತೆ ಕಾಣುತ್ತದೆ।

ನಾಲ್ಕನೆಯದಾಗಿ, 4500ರಲ್ಲಿ IKE ಅನ್ನು ಉಳಿದ ಎಲ್ಲದರಿಂದ ಬೇರ್ಪಡಿಸಿ

4500 ಪೋರ್ಟ್ ಸಾರಾಂಶ ನೋಟದಲ್ಲಿ ಒಂದೇ ರೀತಿ ಕಾಣುವ ಮೂರು ವಿಷಯಗಳನ್ನು ಹೊತ್ತೊಯ್ಯುತ್ತದೆ: ನಾಲ್ಕು ಬೈಟ್ ಶೂನ್ಯ non-ESP ಮಾರ್ಕರ್ನ ಹಿಂದೆ IKE, ಮಾರ್ಕರ್ ಸ್ಥಾನದಲ್ಲಿ ಶೂನ್ಯವಲ್ಲದ SPI ಹೊಂದಿರುವ ಸುತ್ತುವರಿದ ESP, ಮತ್ತು ಸಣ್ಣ keepaliveಗಳು। IKE ಅನ್ನು ಸುತ್ತುವರಿದ ESP ನಿಂದ ಬೇರ್ಪಡಿಸುವುದು ಆ ಮಾರ್ಕರ್, ಆದ್ದರಿಂದ ಟ್ರಾಫಿಕ್ ಅನ್ನು IKE ಎಂದು ಕರೆಯುವ ಮೊದಲು ಆ ಬೈಟ್ಗಳನ್ನು ಓದಿ। 4500 ಎಂದು ಓದುವ ಕ್ಯಾಪ್ಚರ್ ಲೇಬಲ್ ಪೋರ್ಟ್ ಸಂಖ್ಯೆ, ಪ್ರೋಟೋಕಾಲ್ ಅಲ್ಲ।

ಸುತ್ತುವರಿದ ESP ಕೀಲಿಗಳಿಲ್ಲದೆ ಅರ್ಥೈಸಲಾಗದ ಎನ್ಕ್ರಿಪ್ಟ್ ಆದ ಪೇಲೋಡ್, ಮತ್ತು ಅದರ ಇರುವಿಕೆ ದೋಷದ ಬದಲು ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಸುರಂಗದ ಸೂಚನೆಯಾಗಿರಬಹುದು।

ಅದೇ ಪ್ರಯತ್ನಕ್ಕಾಗಿ ಎರಡೂ ಪೋರ್ಟ್ಗಳನ್ನು ಗಮನಿಸಿ, ಏಕೆಂದರೆ IKE 500ರಲ್ಲಿ ತೆರೆದರೂ NAT ಪತ್ತೆಯ ನಂತರ 4500ಕ್ಕೆ ಹೋಗಬಹುದು। 500ರಲ್ಲಿ ಮಾತ್ರ ಫಿಲ್ಟರ್ ಮಾಡಿದ ಜಾಡು ಮಾತುಕತೆ ಯಶಸ್ವಿಯಾಗಿ ಸ್ಥಳ ಬದಲಿಸಿದಾಗ ಮಾತ್ರ ಶಾಂತವಾಗಿ ಕಾಣುತ್ತದೆ। ಫಿಲ್ಟರ್ ಅನ್ನು ವಿಸ್ತರಿಸಿ ಮತ್ತು ಗೈರುಹಾಜರಿಯಿಂದ ಯಾವುದೇ ತೀರ್ಮಾನಕ್ಕೆ ಬರುವ ಮೊದಲು ಅದೇ ಸಮಯ ಕಿಟಕಿಯನ್ನು ಮತ್ತೆ ಓದಿ।

ಒಂದು ವೀಕ್ಷಣಾ ಬಿಂದುವಿನಲ್ಲಿ ಮೌನದ ಅರ್ಥ

ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಉತ್ತರವಿಲ್ಲದಿರುವುದು ಆ ಬಿಂದು ಕಂಡದ್ದನ್ನು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ। ಫಿಲ್ಟರಿಂಗ್, ರೂಟಿಂಗ್, ತಪ್ಪು ದೂರದ ವಿಳಾಸ, ನಿಂತಿರುವ ಸೇವೆ ಮತ್ತು ಪ್ರೋಟೋಕಾಲ್ ಹೊಂದಾಣಿಕೆಯಲ್ಲದಿರುವಿಕೆ ಎಲ್ಲವೂ ಅದೇ ಖಾಲಿ ಜಾಡನ್ನು ಉಂಟುಮಾಡುತ್ತವೆ।

ಸಂಬಂಧಿತ ICMP unreachable ಸಾಕ್ಷ್ಯ ಸೇರಿಸುತ್ತದೆ, ಆದರೆ ಅದರೊಳಗಿನ ಉದ್ಧೃತ ಪ್ಯಾಕೆಟ್ ಓದಿ ಮತ್ತು ಅದನ್ನು ಕಳುಹಿಸಿದ ಸಾಧನದ ವಿಳಾಸವನ್ನು ಗಮನಿಸಿ।

ರೌಟರ್ನ ನಿರಾಕರಣೆ ಪಕ್ಷವು ಹಿಂತಿರುಗಿಸುವ ದೃಢೀಕೃತ ದೋಷಕ್ಕಿಂತ ಬೇರೆ ಘಟನೆ, ಮತ್ತು ಸೇವೆ ಜೀವಂತವಾಗಿದೆ ಎಂದು ಎರಡನೆಯದು ಮಾತ್ರ ಸಾಬೀತುಪಡಿಸುತ್ತದೆ। ಅದೇ ಪ್ರಯತ್ನವನ್ನು ಸರ್ವರ್ ಲಾಗ್ಗಳು ಅಥವಾ ಅನುಮೋದಿತ ವೀಕ್ಷಣೆಯೊಂದಿಗೆ ಸಂಬಂಧಿಸಿ ವಿನಂತಿ ಬಂತೇ ಮತ್ತು ಉತ್ತರ ಹೊರಟಿತೇ ಎಂದು ತಿಳಿಯಿರಿ। ಕ್ಯಾಪ್ಚರ್ಗಳನ್ನು ಸೀಮಿತ ಮತ್ತು ಖಾಸಗಿ ಇರಿಸಿ, ಏಕೆಂದರೆ ಓದಬಹುದಾದ ಹ್ಯಾಂಡ್ಶೇಕ್ ಕ್ಷೇತ್ರಗಳು ಫೈಲ್ನ ಉಳಿದ ಭಾಗವನ್ನು ನಿರುಪದ್ರವ ಮಾಡುವುದಿಲ್ಲ। ಯೋಗ್ಯ ಫಲಿತಾಂಶವೆಂದರೆ ಒಂದು ಹೊಂದಿಸಿದ ವಿನಂತಿ ಮತ್ತು ಉತ್ತರ, ಅಥವಾ ಹೆಸರಿಸಿದ ವೀಕ್ಷಣಾ ಬಿಂದುವಿನೊಂದಿಗೆ ಒಂದು ದಾಖಲಿತ ಅಂತರ।