Пакетти кармоодо биринчи IKEv2 алмашуусун кантип окуу керек

Сессиянын ортосунда алынган кармоолор IKEv2 издеринин ызы-чууга окшош болушунун кадимки себеби, анткени жазуу башталганда эки тарап тең ачкычтарды жаңыртып же шифрленген жүктөрдү алмашып жатат. Анын ордуна жаңы туташуу аракетинен баштаңыз, ошондо файлдагы биринчи билдирүү сүйлөшүүнү ачкан билдирүү болот. Төмөнкү окуу тартиби ушуну болжолдойт жана пакет алыскы тарап жөнүндө эч нерсени далилдей албай калган чекитти белгилейт. Ушул кадамды өткөрүп жиберүү иштеп жаткан туннелдин бөгөттөлгөн порт деп диагностикаланышына алып келет.

Ачылыш алмашуусун карап жатканыңызды ырастаңыз

IKEv2 сүйлөшүүсү IKE_SA_INIT менен башталат, алмашуу тиби 34, билдирүү ID 0. Демилгечи нөлгө барабар эмес SPI тандайт, ал эми жооп берүүчүнүн SPI алгачкы суроодо нөлгө барабар, жоопто нөлгө барабар эмес. Бул үч факт жаңы аракетти ачкыч жаңыртуудан же кармоонун башында кокустан турган IKE_AUTH билдирүүсүнөн ажыратат.

Аталыш талаалары окулат, сунуш, ачкыч алмашуу жана nonce жүктөрү да окулат. Окулушу аутентификацияланган дегенди билдирбейт: бул этапта эч бир тарап өздүгүн далилдеген жок, ал эми Diffie-Hellmanдын жашыруун мааниси эч качан зымда көрүнбөйт.

Декоддоо панелинде жылдыруунун ордуна талааларды таблица түрүндө басып чыгарыңыз, анткени кайра жөнөтүүлөр жана дал келбеген SPIлер мамычаларда ачык көрүнөт.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Чыгарылышты жуптап окуңуз. Билдирүү ID 0 болгон суроодон кийин ошол эле ID жана нөлгө барабар эмес жооп берүүчү SPI камтыган жооп келсе, бул бир алмашуу, суроо кайра жөнөтүлгөндүктөн ал үч жолу көрүнсө да. Үч окшош суроо үч кирүү эмес, жана аларды ошентип кароо — кардар циклде айланып жүрөт деген жыйынтыкка келүүнүн жолу, ал эми ал жөн гана чыдамдуу. Билдирүү ID боюнча, анан убакыт белгиси боюнча иреттеңиз, ошондо бүт сүйлөшүү аракеттердин кыска тизмесине чогулат.

Ийгиликти окуудан мурун баш тартууну окуңуз

Жооп автоматтык түрдө илгерилөө эмес. Жооп берүүчү cookie эскертүүсү менен жооп берип, демилгечи кайра аракет кылат деп күтүшү мүмкүн, же анын ордуна кабыл ала турган топту атаган INVALID_KE_PAYLOAD менен. Экөө тең туура түзүлгөн IKE билдирүүлөрү катары келет, жана пакеттерди гана санаган фильтрге экөө тең бүткөн алмашуу болуп көрүнөт.

Эскертүү жүгүн ачып, эң оболу түрүн окуңуз. cookie чакырыгы жооп берүүчү жасалма булак дарегинен коргонуп жатканын билдирет, жана кардар cookieни тиркеп кайра жөнөтүшү керек. Жараксыз топ эки сунуш дал келбей жатканын билдирет, аны бир тараптын конфигурациясы кыймылдамайынча эч кандай кайталоо өзгөртпөйт.

Шифрленген өздүк жана аутентификация жүктөрүн IKE_AUTH гана, б.а. экинчи алмашуу алып жүрөт. Ошондуктан бүткөн IKE_SA_INIT тараптар алгоритмдер жана туунду ачкычтар боюнча макул экенин айтат, ал эми эсептик дайындар кабыл алынабы деген жөнүндө такыр эч нерсе айтпайт. Ал жерде да эки билдирүүнү күтүңүз, жана сессия ачкычтарысыз экөө тең тунук эмес болот деп күтүңүз.

4500 порту бир протокол эмес

Ачылыш алмашуусун адатта UDP 500 алып жүрөт. NAT аныктоосу иштегенден кийин IKE 4500гө өтөт жана ар бир билдирүүнүн алдына төрт байттык нөлдүк ESP эмес белги коёт. Ошол эле порттогу инкапсуляцияланган ESP тескерисинче нөлгө барабар эмес ESP SPI менен башталат, ал эми бир байттык NAT keepalive башка эч нерсе болбогондо пайда болгон үчүнчү форма.

Портко гана дал келген фильтр үчөөнү тең аралаштырат, ошондуктан "4500дө трафик бар" өтө аз нерсени чечет. Алыскы тарап жөнүндө жыйынтык чыгарганга чейин көрүнүштү протокол боюнча бөлүңүз.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Үнсүздүк байкоо чекитин сүрөттөйт

Жоопсуз суроолор так бир нерсени аныктайт: ошол кармоо чекитинде эч кандай жооп пайда болгон жок. Фильтрлөө, жоопту башка жакка жөнөткөн маршрут, жетүүгө мүмкүн эмес жооп берүүчү же сунушту жактырбаган жооп берүүчү баары бирдей бош натыйжа берет, жана жалпы UDP текшерүүсү аларды ажырата албайт.

ICMP жетүүсүздүгү башка түрдөгү далил. Анын ичиндеги цитаталанган пакетти окуп, аны кайсы түзмөк жөнөткөнүн аныктаңыз, анткени маршрутизатордун административдик баш тартуусу алыскы тараптан келген аутентификацияланган ката эмес.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Ошол эле аракетти сервер тараптагы журналдар менен аларды окууга уруксат берилген жерде салыштырыңыз. Суроо жеттиби, кызмат жооп бердиби жана жооп кайда токтоду? Бул үч жооп сизди жол маселесине же саясат маселесине жиберет, жана алар эсептик дайындарды төртүнчү жолу алмаштыруудан арзан.