Firwat tcpdump IPsec-Klartext nëmmen an enger Richtung weist

Dir bedreift tcpdump op der baussenzeger Interface vun engem Linux IPsec-Gateway a gesitt zwee Saachen zur selwechter Zäit: erakommend ESP-Framen an, direkt duerno, déi entschlësselt bannenaarbecht Paketen. Eraus gesäit een nëmmen ESP. Den natierlechen Ofschloss ass, datt Äntwerten net geschéckt ginn oder datt IPsec eng Richtung verschlësselt an déi aner vergësst. Béides ass net wouer.

Wat Dir gesitt, ass e Capture-Punkt. De Kernel transforméiert erausgoend Paketen éier den Transmissiounswee vum Apparat se un de Paketsocket iwwergëtt, sou datt de Socket déi bannenaarbecht Form beim Erausgoen ni gesäit. Bäim Eragoen gëtt de Paket fir d'éischt als ESP gefaangen an déi decapsuléiert Kopie gëtt sichtbar, wann se erëm an de Stack kënnt. Dee selwechten Traffic, zwee verschidden Observatiounsfenster.

De Capture-Punkt entscheet, wat Dir gesitt

Op enger normaler Interface sëtzt en AF_PACKET-Socket no bei der Apparatschicht. Paketen, déi den Host verloossen, ginn fir d'éischt duerch d'IPsec-Ausgabveraarbechtung, déi en bannenaarbecht TCP-Segment an en ESP- oder UDP-4500-Datagramm ëmwandelt, a kommen eréischt duerno op déi Schicht. Ukommend Paketen ginn an de Socket kopéiert, wéi se vum Kabel kommen, nach verschlësselt, an d'entschlësselt Resultat gëtt méi spéit sichtbar, wann de Stack et lokal liwwert oder weiderleet.

Déi Reihenfolleg erkläert d'Asymmetrie komplett. Et ass keng Beweis iwwer Richtung, Politik oder Verhalen vun der Applikatioun, a wann een et esou behandelt, jage Leit enger Äntwert no, déi déi ganz Zäit richteg geschéckt gouf. Et ass ee vun de wéinege Netzwierkrätselen, wou d'Instrument, net d'Netzwierk, d'Anomalie schaaft.

Passt de Filter un d'Schicht un, déi Dir mengt

En Ausdrock wéi tcp port 443 wielt eng bannenaarbecht TCP-Verbindung. Eraus ass déi Verbindung schonn ESP ginn, wann de Socket gefrot gëtt, sou datt de Filter op näischt passt. Wann Dir geschützten Traffic wëllt zielen, filtert amplaz op déi baussenzeg Form: Protokoll 50 fir rohen ESP, oder UDP-Port 4500 wann NAT-Traversal am Spill ass. Béid Filtere liwweren eng Paketzuel, déi tëschent deenen zwou Parteie verglach ka ginn, wat meeschtens de Grond fir d'Zielen ass. Keen vun deene zwee seet Iech, ob déi bannenaarbecht Ufro eng Äntwert krut.

Behandelt eng UDP 4500-Zuel net als ESP-Paketzuel. IKE benotzt dëse Port och fir NAT-T-Keepalives a fir den encapisuléierten Austausch, sou datt d'Zuel Traffic enthält, deen net déi Donnéeën ass, déi Dir wollt moossen. Den initialen IKE-Austausch op UDP 500 brauch säin eegene Filter, wann dat d'Fro ass. Eng Zuel, déi Kontrolltraffic mat Donnéeë mengt, mécht och all Bandbreedteschätzung ëm eng onbekannt Margin falsch. Separat Zuele beäntweren separat Froen.

Schreift de Filter niewent d'Fro, déi en beäntwert. „Wéi vill ESP huet d'Këscht verlooss“ an „huet d'Webufro d'Këscht verlooss“ si verschidde Miessungen mat verschiddene Filteren, an eng eenzeg Capture kann net béides klären. Ouni déi Notiz vergläichen zwou Persounen Zuelen, déi ni datselwecht gezielt hunn.

Observéiert virun der Transformatioun, net duerno

Wann Dir erausgoende Klartext musst gesinn, réckelt den Observatiounspunkt méi fréi, virun der IPsec-Ausgabveraarbechtung. NFLOG gëtt Iech en Netfilter-Hook, wou eng Regel ausgewielt Paketen an e Socket am Benotzerraum kopéiere kann, deen tcpdump liese kann. De Traffic-Dump-Guide vu strongSwan dokumentéiert dës Approche genee aus dësem Grond.

D'Politikentspriechung limitéiert d'Regel op Traffic, deen amgaang ass an en Tunnel ze kommen. -m policy --pol ipsec --dir out ass dat, wat d'Regel spezifesch mécht, amplaz all Paket ze loggen, deen d'Këscht schéckt. Liest duerno d'Loggrupp mat enger begrenzter Capture: eng kleng Zuel vu Snapshots an eng Gréisstgrenz verhënneren, datt d'Diagnostik en Trafficarchiv gëtt. Eng begrenzt Capture ass och méi einfach un en Iwwerpréifer ze ginn, ouni irrelevant Laascht matzezéien. Entscheet d'Zuel éier Dir ufänkt, net nodeems Dir gesinn hutt, wéi vill ukomm ass.

iptables -I OUTPUT 1 -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5
tcpdump -ni nflog:5 -s 128 -c 20 'host 10.83.0.44 and tcp port 8443'

Wielt den Hook passend zum Floss. OUTPUT deckt Traffic, deen den Gateway selwer generéiert; den Transit vun engem LAN-Client geet amplaz duerch d'Kette FORWARD, an eng Regel op OUTPUT wäert en ni gesinn. D'Adress an de Port uewen sinn Platzhalter fir en approuvéiert Testzil.

Wat d'Observatioun beweise kann

NFLOG ass en Logzil, keng Akzeptanzentscheedung. E Paket, deen do erschéngt, weist datt en den Hook ereecht huet an zur Regel gepasst huet. Et weist net, datt e méi spéide Filter en erlaabt huet, datt den Apparat en iwwerdroen huet oder datt d'Géigendeel eppes kritt huet.

En eidele Log ass gläich zweedeiteg. Iwwerpréift de Paketzähler vun der Regel, bestätegt d'Richtung, bestätegt datt de Floss wierklech enger IPsec-Politik entsprach huet, a bestätegt d'Zil. Nëmmen en iwwereneenstëmmenden Zähler op béide Säiten mécht aus enger Observatioun eng Konklusioun. Vergläicht duerno d'Zähler vun der Sécherheetsassociatioun op béide Säiten fir dee selwechte kontrolléierten Versuch, well d'SA-Zähler den autoritative Rekord sinn, wat geschützt a geschéckt gouf.

Nach eng Fal: „Klartext“ heesst hei baussenzeg vun der IPsec-Verschlësselungsschicht. Eng bannenaarbecht HTTPS-Sessioun huet nach ëmmer hiren eegenen TLS. D'decapsuléiert Paket ze faangen entschlësselt net den TLS vun der Applikatioun, an liesbaren HTTP do ze gesinn heescht, datt d'Applikatioun ni HTTPS benotzt huet.

Maacht propper a vergläicht béid Enner

Entfernt déi genau Regel, déi Dir agetippt hutt, no hirem Besëtzer, soubal d'Observatioun eriwwer ass. Eng Logregel stoen ze loossen kascht CPU op all passenden Paket a schaaft stëll en Datenhaltungsproblem. Läscht se, andeems Dir d'Regel mat -D widderhëlt amplaz eng Kette ze spülen, déi Iech net gehéiert.

iptables -D OUTPUT -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

Wann d'Deploiement IPsec am Benotzerraum, eng XFRM-Interface oder Hardwareoffload benotzt, réckelen d'Observatiounspunkten an dës Rezept gëlt vläicht guer net. Bei libipsec ass déi dokumentéiert Plaz fir bannenaarbechten Traffic ze observéieren den TUN-Apparat. Identifizéiert fir d'éischt de Wee, wielt dann de Punkt, deen d'Fro beäntwert, a rechent derop, datt déi zwou Richtungen nëmmen dann anescht ausgesinn, wann Dir op déi falsch Säit vun der Transformatioun kuckt.