Како да прочитате нов IKE_SA_INIT обмен во снимка

Започнете со снимка што започнува пред првиот пакет од обидот, инаку ќе ја читате средината на разговорот. Преговарање што веќе тече покажува шифрирани размени и обновување клучеви и ниту едно не изгледа како отворањето. Отворањето е делот што можете да го декодирате без клучеви, и затоа толку добро одговара на прашањата за достапност. Четири проверки по ред ве водат од свежа снимка до одржлива тврдња за тоа која страна престана да зборува.

Прво, потврдете дека снимката започнува од почетокот

Снимка започната откако тунелот се подигна ќе го содржи инкапсулираниот тек на податоци и периодичните keepalive пораки, и двете се или шифрирани или речиси празни. Рестартирајте го клиентот и снимете го самиот обид или намерно предизвикајте нова врска додека снимката работи. Ако не можете да создадете свеж обид, запишете го тоа во белешките, бидејќи никакво декодирање не враќа отворање што никогаш не сте го снимиле.

Ограничете ја снимката на двата крајни точки и на UDP 500 и 4500 за да остане датотеката доволно мала за читање. На зафатен домаќин нефилтрирана снимка го закопува преговарањето под неврзаниот сообраќај.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Чувајте ја датотеката кога обидот е интересен, бидејќи истата снимка одговара на двете следни прашања: што беше размената и дали нешто се врати. Означете ја со времето на почеток и со парот крајни точки на кои филтриравте. Снимка без тие два факти е бескорисна по една недела, кога адресите се сменети и никој не се сеќава кој обид е снимен.

Второ, прочитајте го заглавието пред носивите податоци

Заглавието на IKE ги носи индексите на безбедносните параметри, типот на размена и ID-то на пораката, и при ново преговарање тие вредности се препознатливи. Иницијаторот измислува SPI различен од нула, првичното барање носи нула SPI на одговорникот затоа што сѐ уште не е видена порака, типот на размена е IKE_SA_INIT, а ID-то на пораката е нула. Сѐ друго и припаѓа на подоцнежна фаза од истото преговарање или на сосема друг обид.

Предлогот, размената на клучеви и nonce носивите податоци во оваа прва размена се читливи во отворен вид. Читливоста не е автентикација и во овој момент ниту една страна не го докажала својот идентитет.

Приватната Diffie-Hellman вредност никогаш не ја преминува жицата, па снимката не ви дозволува да изведете сесиски клучеви. Автентикацијата се случува во следната размена, заштитена од она што првата го договори. Ако некој праша дали страната е вистинска, оваа размена не може да одговори на тоа прашање. Може само да покаже дека двете страни се согласиле за предлог и создале заедничка тајна што датотеката не ја содржи.

Трето, сопоставете го барањето со неговиот одговор

Сопоставете по парот SPI, типот на размена и ID-то на пораката, потоа проверете го знамето за одговор. Препраќањето го повторува ID-то на пораката на оригиналот и не е втор обид за најава. Броењето пакети наместо размени е начинот на кој здраво преговарање се претвора во фантомска јамка.

Одговорот може да биде и одбивање: барање за колаче, известување за неприфатлива група или грешка за предлог. Тоа се легитимни одговори и значат дека патеката работи, а политиката не. Декодирајте го известувањето наместо секој одговор да го сметате за успех. Кога известувањето именува група или предлог, поправката е на страната на конфигурацијата, а не на огнениот ѕид.

И насоката е важна. Барање без одговор и одговор што никогаш не стигнува до клиентот се различни дефекти, и само вториот изгледа како истек на време од страната на клиентот.

Четврто, одделете го IKE од сѐ друго на 4500

Портата 4500 носи три работи што во краток преглед изгледаат исто: IKE зад четирибајтен нулти non-ESP маркер, инкапсулиран ESP чија позиција на маркерот држи SPI различен од нула, и кратки keepalive пораки. Токму маркерот го одделува IKE од инкапсулираниот ESP, затоа прочитајте ги тие бајти пред сообраќајот да го наречете IKE. Ознака на снимка што чита 4500 е број на порта, а не протокол.

Инкапсулираниот ESP е шифриран товар што не можете да го протолкувате без клучеви, и неговото присуство може да е знак за тунел што работи, а не за дефект.

Набљудувајте ги двете порти за истиот обид, бидејќи IKE може да се премести на 4500 по откривање на NAT, иако се отворил на 500. Трага филтрирана само на 500 изгледа тивка токму кога преговарањето успеало и се преместило. Проширете го филтерот и прочитајте го истиот временски прозорец повторно пред да извлечете каков било заклучок од отсуството.

Што значи тишината на една набљудувачка точка

Немање одговор кај клиентот докажува само она што таа точка го набљудувала. Филтрирање, рутирање, погрешна далечна адреса, запреана услуга и несовпаѓање на протоколот сите даваат истата празна трага.

Релевантна ICMP unreachable порака додава доказ, но прочитајте го цитираниот пакет во неа и забележете ја адресата на уредот што ја испратил.

Одбивањето од рутерот е различен настан од автентифицирана грешка што ја враќа страната, и само втората докажува дека услугата е жива. Поврзете го истиот обид со серверски дневници или со одобрено набљудување за да дознаете дали барањето пристигнало и дали одговор излегол. Чувајте ги снимките ограничени и приватни, бидејќи читливите полиња на ракувањето не го прават остатокот од датотеката безопасен. Резултатот што вреди е еден сопоставен пар барање и одговор, или една документирана празнина со именувана набљудувачка точка.