Kā lasīt pirmo IKEv2 apmaiņu pakešu tveršanā

Sesijas vidū uzņemti tvērumi ir ierastais iemesls, kāpēc IKEv2 pēda izskatās pēc trokšņa, jo puses jau atjauno atslēgas vai apmainās ar šifrētām kravām, kad sākas ieraksts. Tā vietā sāciet ar jaunu savienojuma mēģinājumu, lai pirmā ziņa failā būtu tā, kas atver sarunas. Turpmākā lasīšanas secība to paredz un atzīmē punktu, kurā pakete pārstāj kaut ko pierādīt par tālo galu. Tieši šī soļa izlaišana noved pie tā, ka strādājošs tunelis tiek diagnosticēts kā bloķēta osta.

Pārliecinieties, ka skatāties atvēršanas apmaiņu

IKEv2 sarunas sākas ar IKE_SA_INIT, apmaiņas tips 34, ziņojuma ID 0. Iniciators izvēlas SPI, kas nav nulle, un atbildētāja SPI šajā pirmajā pieprasījumā ir nulle, bet atbildē tas nav nulle. Šie trīs fakti atdala jaunu mēģinājumu no atslēgu atjaunošanas vai no IKE_AUTH ziņas, kas nejauši atrodas tvēruma augšgalā.

Galvenes lauki ir lasāmi, un arī priekšlikuma, atslēgu apmaiņas un nonce kravas. Lasāms nenozīmē autentificēts: neviena puse šajā punktā nav pierādījusi identitāti, un Diffie-Hellman privātā vērtība nekad neparādās līnijā.

Drukājiet laukus kā tabulu, nevis ritiniet dekodēšanas rūti, jo atkārtotas sūtīšanas un nesakrītošas SPI kļūst acīmredzamas kolonnās.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Lasiet izvadi pāros. Pieprasījums ar ziņojuma ID 0, kam seko atbilde ar to pašu ID un atbildētāja SPI, kas nav nulle, ir viena apmaiņa, pat ja tā parādās trīs reizes, jo pieprasījums tika nosūtīts atkārtoti. Trīs identiski pieprasījumi nav trīs pieteikšanās, un tieši šāda attieksme noved pie secinājuma, ka klients griežas cilpā, lai gan tas ir tikai pacietīgs. Kārtojiet pēc ziņojuma ID, pēc tam pēc laika zīmes, un visa saruna sarauj kā īss mēģinājumu saraksts.

Lasiet atteikumu pirms lasāt panākumus

Atbilde nav automātiski progress. Atbildētājs var atbildēt ar cookie paziņojumu un gaidīt, ka iniciators mēģinās vēlreiz, vai ar INVALID_KE_PAYLOAD, nosaucot grupu, ko tas labprāt pieņemtu. Abi ierodas kā pareizi veidotas IKE ziņas, un abi izskatās kā pabeigta apmaiņa filtram, kas tikai skaita paketes.

Atveriet paziņojuma kravu un vispirms izlasiet tipu. Cookie izaicinājums nozīmē, ka atbildētājs aizsargājas pret viltotām avota adresēm, un klientam ir jānosūta vēlreiz, pievienojot cookie. Nederīga grupa nozīmē, ka divi priekšlikumi nesakrīt, un to nemainīs neviens atkārtojumu skaits, kamēr nepakustas vienas puses konfigurācija.

Tikai IKE_AUTH, otrā apmaiņa, nes šifrēto identitāti un autentifikācijas kravas. Tāpēc pabeigts IKE_SA_INIT pasaka, ka puses vienojas par algoritmiem un atvasinātajām atslēgām, un pilnīgi neko par to, vai akreditācijas dati tiks pieņemti. Gaidiet arī tur divas ziņas, un gaidiet, ka abas būs necaurredzamas bez sesijas atslēgām.

Osta 4500 nav viens protokols

Atvēršanas apmaiņu parasti nes UDP 500. Kad NAT noteikšana ir izpildīta, IKE pāriet uz 4500 un katras ziņas priekšā liek četru baitu nulles marķieri, kas nav ESP. Iekapsulētais ESP tajā pašā ostā sākas ar ESP SPI, kas nav nulle, un viena baita NAT keepalive ir trešā forma, kas parādās, kad nekas cits nenotiek.

Filtrs, kas atbilst tikai ostai, sajauc visas trīs, tāpēc "ostā 4500 ir trafiks" izšķir tik maz. Sadaliet skatu pēc protokola, pirms izdarāt kādu secinājumu par tālo galu.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Klusums raksturo novērojuma punktu

Pieprasījumi bez atbildēm nosaka tieši vienu lietu: šajā tvēruma punktā neparādījās neviena atbilde. Filtrēšana, maršruts, kas atbildi sūta citur, nesasniedzams atbildētājs vai atbildētājs, kuram nepatīk priekšlikums, visi dod to pašu tukšo rezultātu, un vispārīga UDP pārbaude tos nešķirs.

ICMP nesasniedzamība ir cita veida pierādījums. Izlasiet tajā citēto paketi un noskaidrojiet, kura ierīce to izsūtīja, jo maršrutētāja administratīvais atteikums nav autentificēta tālā gala kļūda.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Sasaistiet to pašu mēģinājumu ar servera puses žurnāliem tur, kur jums ir atļauts tos lasīt. Vai pieprasījums atnāca, vai pakalpojums atbildēja un kur atbilde apstājās? Šīs trīs atbildes sūta jūs uz maršruta problēmu vai uz politikas problēmu, un tās maksā mazāk nekā ceturtā akreditācijas datu maiņa.