Wéi liest een en neien IKE_SA_INIT-Austausch an enger Opnam

Fänkt mat enger Opnam un, déi virum éischte Pak vum Versuch ufänkt, soss liest Dir d’Mëtt vun engem Gespréich. Eng Verhandung, déi schonn leeft, weist verschlësselt Austausch a Schlësselerneierungen, an deen eenzelt dovun gesäit net wéi den Ufank aus. Den Ufank ass deen Deel, deen Dir ouni Schlësselen dekodéiere kënnt, an dofir äntwert en esou gutt op Erreechbarkeetsfragen. Véier Kontrollen an der Rei bréngen Iech vun enger frëscher Opnam zu enger verdeedbarer Ausso driwwer, wéi eng Säit opgehal huet ze schwätzen.

Éischtens, bestätegt datt d’Opnam um Ufank ufänkt

Eng Opnam, déi nom Opbau vum Tunnel ugefaang huet, enthält de gekapselten Datebestand an periodesch keepalives, an alleb zwee ass entweder verschlësselt oder bal eidel. Start de Client nei a registréiert de Versuch selwer, oder léist bewosst eng nei Verbindung aus, wärend d’Opnam leeft. Wann Dir kee frëschen Versuch maache kënnt, schreift dat an Är Notizen, well keng Dekodéierung eppes op en Ufank erëmgëtt, deen Dir ni opgeholl hutt.

Begränzt d’Opnam op déi zwee Endpunkte souwéi op UDP 500 an 4500, sou datt d’Datei kleng genuch bleift fir ze liesen. Op engem beschäftegte Host begruewen eng ongerfiltert Opnam d’Verhandung ënner onrelatéiertem Traffic.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Haalt d’Datei, wann de Versuch interessant ass, well déi selwecht Opnam déi zwou nächst Froen beäntwert: wat den Austausch war, an ob eppes zeréckkomm ass. Etikettéiert se mat der Startzäit a mat dem Endpunktepaar, op dat Dir gefiltert hutt. Eng Opnam ouni déi zwou Fakten ass eng Woch méi spéit nëtzlech, wann d’Adressen sech geännert hunn an kee sech drun erënnert, wéi en Versuch opgeholl gouf.

Zweetens, liest den Header virun de Payloaden

Den IKE-Header dréit déi Sécherheetsparameter-Indizes, den Austauschtyp an d’Messag-ID, an an enger neier Verhandung sinn déi Wäerter typesch. Den Initiator erflenkt sech eng SPI déi net Null ass, déi éischt Ufro dréit eng Äntwert-SPI vun Null, well nach keng Äntwert gesi gouf, den Austauschtyp ass IKE_SA_INIT, an d’Messag-ID ass Null. Alles anescht gehéiert zu enger méi spéider Etapp vun der selwechter Verhandung oder zu engem ganz aneren Versuch.

D’Payloaden zum Virschlag, zum Schlësselaustausch an zu der Nonce an dësem éischten Austausch si am Klor liesbar. Liesbar heescht net authentifizéiert, an zu dësem Zäitpunkt huet keng vun den zwou Säiten hir Identitéit bewisen.

De private Diffie-Hellman-Wäert iwwerquéiert ni d’Leitung, dofir erlaabt d’Opnam Iech net, Sessiounsschlësselen ofzeleeden. D’Authentifikatioun geschitt am nächsten Austausch, geschützt duerch dat, wat déi éischt ausgemaach huet. Wann een freet, ob eng Säit richteg ass, kann dësen Austausch déi Fro net beäntwerten. En kann just weisen, datt béid Säiten sech op e Virschlag eeneg waren an e gemeinsamt Geheimnis geschaf hunn, dat d’Datei net enthält.

Drëttens, passt d’Ufro un hir Äntwert

Passt iwwer de SPI-Paar, den Austauschtyp an d’Messag-ID un, a kontrolléiert duerno de Flagg vun der Äntwert. Eng Nei-Sendung widderhëlt d’Messag-ID vum Original an ass keen zweeten Login-Versuch. Paketter ze zielen amplaz vun Austausch ass de Wee, op deem eng gesond Verhandung zu enger Fantom-Schleef gëtt.

Eng Äntwert kann och eng Oflehnung sinn: eng Cookie-Ufro, eng Notiz iwwer eng onakzeptabel Grupp oder e Feeler zu engem Virschlag. Dat si legitim Äntwerten, an se bedeiten, datt de Wee funktionéiert, wärend d’Politik et net mécht. Dekodéiert d’Notiz, amplaz all Äntwert als Erfolleg ze gesinn. Wann d’Notiz eng Grupp oder e Virschlag nennt, ass d’Reparatur op der Konfiguratiounssäit an net op der Firewall.

D’Richtung zielt och. Eng Ufro ouni Äntwert an eng Äntwert, déi ni beim Client ukënnt, sinn ënnerschiddlech Feeler, a just déi zweet gesäit aus wéi en Timeout op der Clientsäit.

Véiertens, trennt IKE vun allem anescht op 4500

De Port 4500 dréit dräi Saachen, déi an enger Zesummefaassung gläich ausgesinn: IKE hannert engem Véier-Byte-Null-Non-ESP-Marker, gekapselten ESP, deem seng Markersplaz eng SPI déi net Null ass dréit, a kuerz keepalives. Dee Marker trennt IKE vum gekapselte ESP, dofir liest déi Byten, ier Dir den Traffic IKE nennt. En Opnam-Etikett, dat 4500 liest, ass eng Portnummer, keen Protokoll.

Gekapselten ESP ass verschlësselte Payload, deen Dir ouni Schlësselen net interpretéiere kënnt, an seng Präsenz kann d’Zeeche vun engem funktionéierenden Tunnel sinn an net vun engem Feeler.

Beobacht béid Porten fir dee selwechte Versuch, well IKE no der NAT-Erkennung op 4500 ka wiesselen, obwuel en op 500 opgaang ass. Eng Spuer, déi just op 500 gefiltert ass, gesäit genee dann stomm aus, wann d’Verhandung gelungen ass an d’Plaz gewiesselt huet. Erweidert de Filter a liest datselwecht Zäitfenster nach eng Kéier, ier Dir aus der Absenz eng Konklusioun zitt.

Wat Stëllt op engem Observatiounspunkt bedeit

Keng Äntwert beim Client beweist just dat, wat deen Punkt observéiert huet. Filteren, Routing, déi falsch Fernadress, en Dienst deen erof ass an eng Protokoll-Onstëmmegkeet produzéieren all déi selwecht eidel Spuer.

En relevante ICMP unreachable bäit eng Beweis, awer liest de zitréierte Pak dobannen a notéiert d’Adress vum Apparat, deen en geschéckt huet.

D’Oflehnung vun engem Router ass en aneren Event wéi en authentifizéierte Feeler vun der Géigesäit, a just déi zweet beweist, datt den Dienst lieft. Korreléiert dee selwechte Versuch mat Serverlogs oder enger geneemegter Observatioun, fir ze wëssen, ob d’Ufro ukomm ass an ob eng Äntwert erausgaang ass. Haalt d’Opname begränzt a privat, well liesbar Handshake-Felder de Rescht vun der Datei net harmlos maachen. D’Resultat, dat et wäert ass, ass eng gepaart Ufro an Äntwert, oder eng dokumentéiert Lacune mat engem genannte Observatiounspunkt.