Wéi een den éischten IKEv2-Austausch an enger Pakkeopnam liest

Opnamen aus der Mëtt vun enger Sëtzung sinn de gewéinleche Grond, firwat eng IKEv2-Spuer wéi Kaméidi ausgesäit, well d'Parteien schon Schlësselen erneieren oder verschlësselt Bäiträg austauschen, wann d'Opnam ufänkt. Fänkt amplaz mat engem neien Uschlossversuch un, sou datt déi éischt Noriicht an der Datei déi ass, déi d'Verhandlungen opmécht. D'Liesuerdnung hei drënner geet dovun aus an zeechent de Punkt, wou e Paket ophält, eppes iwwer de wäiten Enn ze beweisen. Dee Schrëtt ze iwwersprangen ass wéi en funktionéierende Tunnel als blockéierte Port diagnostizéiert gëtt.

Confirméiert, datt Dir den Ouverturesaustausch kuckt

Eng IKEv2-Verhandlung fänkt mat IKE_SA_INIT un, Austauschtyp 34, Noriicht-ID 0. Den Initiateur wielt en SPI deen net Null ass, an den SPI vum Äntwerer ass Null an där éischter Ufro an net Null an der Äntwert. Déi dräi Fakten trennen en neien Versuch vun enger Schlësselernetéierung oder vun enger IKE_AUTH-Noriicht, déi zoufälleg uewen an enger Opnam steet.

D'Headerfelder si liesbar, an dat gëllt och fir d'Propositiouns-, Schlësselaustausch- an Nonce-Bäiträg. Liesbar ass net authentifizéiert: keng Partei huet op dësem Punkt Identitéit bewisen, an de Privatwäert vum Diffie-Hellman erschéngt ni op der Leitung.

Dréckt d'Felder als Tabell aus, amplaz duerch e Dekodéierungspanel ze scrollen, well Widderhuelungen an SPI'en déi net passen, an de Kolonnen evident ginn.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Liest d'Ausgab a Puer. Eng Ufro mat Noriicht-ID 0, gefollegt vun enger Äntwert mat der selwechter ID an engem net-Null Äntwerer-SPI, ass een Austausch, och wann en dräimol erschéngt, well d'Ufro erëm geschéckt gouf. Dräi identesch Ufroe sinn net dräi Umellungen, an se esou ze behandelen ass wéi d'Leit zu der Konklusioun kommen, e Client géif an enger Loop dréien, wärend e just gedëlleg ass. Sortéiert no Noriicht-ID, dunn no Zäitstempel, an de ganze Gespréich schrumpft op eng kuerz Lëscht vun Versich.

Liest eng Oflehnung, ier Dir en Erfolleg liest

Eng Äntwert ass net automatesch en Fortschrëtt. Den Äntwerer kann mat enger Cookie-Notifikatioun äntweren an erwaarden, datt den Initiateur et nach eng Kéier probéiert, oder mat INVALID_KE_PAYLOAD, dee eng Grupp nennt, déi en amplaz akzeptéiere géif. Béides kënnt als guttgeformt IKE-Noriicht un, a béides gesäit aus wéi en ofgeschlossenen Austausch fir e Filter, deen nëmmen Pakete zielt.

Maacht d'Notifikatiounsbäitrag op a liest den Typ virun allem aneren. Eng Cookie-Herausfuerderung heescht, datt den Äntwerer sech géint gefälschte Quelladressen verdeedegt, an de Client muss nach eng Kéier mat der Cookie schécken. Eng ongülteg Grupp heescht, datt déi zwou Propositiounen net iwwerenee stëmmen, wat keng Zuel vu Widderhuelungen ännert, bis d'Konfiguratioun vun enger Säit sech beweegt.

Nëmmen IKE_AUTH, den zweeten Austausch, dréit déi verschlësselt Identitéit an d'Authentifikatiounsbäiträg. En ofgeschlossenen IKE_SA_INIT seet Iech also, datt d'Parteien iwwer Algorithmen an ofgeleet Schlëssele muss sinn, an absolut näischt iwwer d'Fro, ob d'Accessdaten akzeptéiert ginn. Erwaart och do zwou Noriichten, an erwaart, datt béid ouni d'Sëtzungsschlësselen unduerchsiichteg sinn.

Port 4500 ass net ee Protokoll

UDP 500 dréit normalerweis den Ouverturesaustausch. Soubal d'NAT-Erkennung gelaf ass, wiesselt IKE op 4500 an setzt virun all Noriicht en Nullmarker vun véier Byte, deen net ESP ass. Ageschlossener ESP op deem selwechte Port fänkt dogéint mat engem ESP-SPI un, deen net Null ass, an en NAT-Keepalive vun engem Byte ass eng drëtt Form, déi erschéngt, wann soss näischt geschitt.

E Filter, deen nëmmen op de Port passt, mengt all dräi, an dofir entscheet "et gëtt Verkéier op 4500" sou wéineg. Deelt d'Vue nom Protokoll, ier Dir eppes iwwer de wäiten Enn schléisst.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Stëllt beschreift de Beobachtungspunkt

Ufroe ouni Äntwerten etabléieren genau eng Saach: op deem Opnam Punkt ass keng Äntwert erschéngt. Filteren, eng Route déi d'Äntwert soss Wueren schéckt, en onerreechbaren Äntwerer oder en Äntwerer, deem d'Propositioun net gefällt, ginn alleguer déiselwecht eidel Resultat, an e genereschen UDP-Test wäert se net trennen.

Eng ICMP-Onerreechbarkeet ass de Beweis vun enger anerer Aart. Liest de zitierte Paket dobannen a bestëmmt, wéi en Apparat en erausginn huet, well d'administrativ Oflehnung vun engem Router ass keng authentifizéiert Feeler vum wäiten Enn.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Korreléiert dee selwechte Versuch mat de Server-Logs do, wou Dir se däerft liesen. Koum d'Ufro un, huet de Service geäntwert, a wou huet d'Äntwert opgehalen? Déi dräi Äntwerten schécken Iech op e Wee-Problem oder op e Politik-Problem, an se kaschte manner wéi eng véiert Rotatioun vun den Accessdaten.