ക്യാപ്ചറിൽ പുതിയ IKE_SA_INIT കൈമാറ്റം എങ്ങനെ വായിക്കാം

ശ്രമത്തിന്റെ ആദ്യ പാക്കറ്റിന് മുൻപ് ആരംഭിക്കുന്ന ക്യാപ്ചറിൽ നിന്ന് തുടങ്ങുക, അല്ലെങ്കിൽ നിങ്ങൾ സംഭാഷണത്തിന്റെ നടുവാണ് വായിക്കുക। ഇതിനകം നടക്കുന്ന ചർച്ച എൻക്രിപ്റ്റ് ചെയ്ത കൈമാറ്റങ്ങളും കീ പുതുക്കലുകളും കാണിക്കുന്നു, അവയൊന്നും തുടക്കത്തോട് സാമ്യമുള്ളതല്ല। തുടക്കം കീകളില്ലാതെ ഡീകോഡ് ചെയ്യാവുന്ന ഭാഗമാണ്, അതുകൊണ്ടാണ് അത് എത്തിച്ചേരൽ ചോദ്യങ്ങൾക്ക് ഇത്ര നന്നായി ഉത്തരം നൽകുന്നത്। ക്രമത്തിൽ നാല് പരിശോധനകൾ നിങ്ങളെ പുതിയ ക്യാപ്ചറിൽ നിന്ന് ഏത് ഭാഗം സംസാരം നിർത്തി എന്ന സമർത്ഥനീയമായ പ്രസ്താവനയിലേക്ക് എത്തിക്കുന്നു।

ആദ്യം, ക്യാപ്ചർ തുടക്കത്തിൽ നിന്നാണ് ആരംഭിച്ചതെന്ന് ഉറപ്പാക്കുക

ടണൽ ഉയർന്നതിന് ശേഷം ആരംഭിച്ച ക്യാപ്ചറിൽ എൻകാപ്സുലേറ്റ് ചെയ്ത ഡാറ്റാ സ്ട്രീമും കാലികമായ keepalive-കളും ഉണ്ടാകും, രണ്ടും എൻക്രിപ്റ്റ് ചെയ്തതോ ഏതാണ്ട് ശൂന്യമോ ആണ്। ക്ലയന്റ് പുനരാരംഭിച്ച് ശ്രമം തന്നെ റെക്കോർഡ് ചെയ്യുക, അല്ലെങ്കിൽ ക്യാപ്ചർ പ്രവർത്തിക്കുമ്പോൾ ബോധപൂർവം പുതിയ കണക്ഷൻ ഉണ്ടാക്കുക। പുതിയ ശ്രമം ഉണ്ടാക്കാനാകുന്നില്ലെങ്കിൽ അത് നിങ്ങളുടെ കുറിപ്പുകളിൽ എഴുതുക, കാരണം നിങ്ങൾ ഒരിക്കലും റെക്കോർഡ് ചെയ്യാത്ത തുടക്കം ഏതൊരു ഡീകോഡിംഗും തിരികെ കൊണ്ടുവരില്ല।

ക്യാപ്ചർ രണ്ട് അന്ത്യ ബിന്ദുക്കളിലേക്കും UDP 500, 4500 എന്നിവയിലേക്കും പരിമിതപ്പെടുത്തുക, ഫയൽ വായിക്കാൻ തക്ക ചെറുതായി നിൽക്കട്ടെ। തിരക്കുള്ള ഹോസ്റ്റിൽ ഫിൽട്ടർ ഇല്ലാത്ത ക്യാപ്ചർ ചർച്ചയെ അപ്രസക്തമായ ട്രാഫിക്കിന് കീഴിൽ കുഴിച്ചിടുന്നു।

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

ശ്രമം രസകരമാകുമ്പോൾ ഫയൽ സൂക്ഷിക്കുക, കാരണം അതേ ക്യാപ്ചർ അടുത്ത രണ്ട് ചോദ്യങ്ങൾക്കും ഉത്തരം നൽകുന്നു: കൈമാറ്റം എന്തായിരുന്നു, എന്തെങ്കിലും തിരികെ വന്നോ। അതിൽ ആരംഭ സമയവും നിങ്ങൾ ഫിൽട്ടർ ചെയ്ത അന്ത്യ ബിന്ദു ജോടിയും രേഖപ്പെടുത്തുക। ഈ രണ്ട് വസ്തുതകളില്ലാത്ത ക്യാപ്ചർ ഒരാഴ്ച കഴിഞ്ഞ് നിഷ്പ്രയോജനമാകും, വിലാസങ്ങൾ മാറി ഏത് ശ്രമമാണ് റെക്കോർഡ് ചെയ്തതെന്ന് ആർക്കും ഓർമയില്ലാതാകുമ്പോൾ।

രണ്ടാമത്, പേലോഡുകൾക്ക് മുൻപ് ഹെഡർ വായിക്കുക

IKE ഹെഡർ സുരക്ഷാ പാരാമീറ്റർ സൂചികകളും കൈമാറ്റത്തിന്റെ തരവും സന്ദേശ ID-യും വഹിക്കുന്നു, പുതിയ ചർച്ചയിൽ ഈ മൂല്യങ്ങൾ വ്യതിരിക്തമാണ്। സംരംഭകൻ പൂജ്യമല്ലാത്ത SPI സൃഷ്ടിക്കുന്നു, ആദ്യ അഭ്യർത്ഥന ഉത്തരദാതാവിന്റെ പൂജ്യം SPI വഹിക്കുന്നു കാരണം ഇതുവരെ ഉത്തരം കണ്ടിട്ടില്ല, കൈമാറ്റത്തിന്റെ തരം IKE_SA_INIT ആണ്, സന്ദേശ ID പൂജ്യമാണ്। ബാക്കിയെല്ലാം അതേ ചർച്ചയുടെ പിന്നീടുള്ള ഘട്ടത്തിന്റേതോ തികച്ചും വേറെ ശ്രമത്തിന്റേതോ ആണ്।

ഈ ആദ്യ കൈമാറ്റത്തിലെ നിർദ്ദേശം, കീ കൈമാറ്റം, nonce എന്നിവയുടെ പേലോഡുകൾ തുറന്ന രൂപത്തിൽ വായിക്കാം। വായിക്കാമെന്നത് പ്രാമാണീകരിച്ചു എന്നല്ല, ഈ ഘട്ടത്തിൽ ഏത് ഭാഗവും സ്വന്തം അടയാളം തെളിയിച്ചിട്ടില്ല।

സ്വകാര്യ Diffie-Hellman മൂല്യം ഒരിക്കലും വയറിലൂടെ കടക്കുന്നില്ല, അതിനാൽ സെഷൻ കീകൾ കണ്ടെത്താൻ ക്യാപ്ചർ അനുവദിക്കുന്നില്ല। പ്രാമാണീകരണം അടുത്ത കൈമാറ്റത്തിൽ നടക്കുന്നു, ആദ്യത്തേത് ഉറപ്പിച്ച കാര്യങ്ങളാൽ സംരക്ഷിതമാണ്। ഒരു ഭാഗം യഥാർത്ഥമാണോ എന്ന് ആരെങ്കിലും ചോദിച്ചാൽ ഈ കൈമാറ്റത്തിന് ആ ചോദ്യത്തിന് ഉത്തരം നൽകാനാകില്ല। രണ്ട് ഭാഗവും ഒരു നിർദ്ദേശത്തിൽ യോജിച്ച് ഫയലിൽ ഇല്ലാത്ത പങ്കിട്ട രഹസ്യം സൃഷ്ടിച്ചു എന്ന് മാത്രം കാണിക്കാം।

മൂന്നാമത്, അഭ്യർത്ഥനയെ അതിന്റെ ഉത്തരവുമായി ഒത്തുനോക്കുക

SPI ജോടി, കൈമാറ്റത്തിന്റെ തരം, സന്ദേശ ID എന്നിവയിൽ ഒത്തുനോക്കി, പിന്നീട് ഉത്തര പതാക പരിശോധിക്കുക। വീണ്ടും അയയ്ക്കൽ യഥാർത്ഥത്തിന്റെ സന്ദേശ ID ആവർത്തിക്കുന്നു, രണ്ടാമത്തെ ലോഗിൻ ശ്രമമല്ല। കൈമാറ്റങ്ങൾക്ക് പകരം പാക്കറ്റുകൾ എണ്ണുന്നതാണ് ആരോഗ്യകരമായ ചർച്ചയെ ഭ്രാന്തൻ വളയമാക്കുന്ന വഴി।

ഉത്തരം നിരസിക്കലുമാകാം: കുക്കി അഭ്യർത്ഥന, സ്വീകരിക്കാനാവാത്ത ഗ്രൂപ്പ് അറിയിപ്പ്, അല്ലെങ്കിൽ നിർദ്ദേശത്തെക്കുറിച്ചുള്ള പിശക്। ഇവ സാധുവായ ഉത്തരങ്ങളാണ്, പാത പ്രവർത്തിക്കുന്നു പക്ഷേ നയം പ്രവർത്തിക്കുന്നില്ല എന്നാണ് അർത്ഥം। ഓരോ ഉത്തരവും വിജയമായി കാണുന്നതിന് പകരം അറിയിപ്പ് ഡീകോഡ് ചെയ്യുക। അറിയിപ്പ് ഗ്രൂപ്പിനെയോ നിർദ്ദേശത്തെയോ പേരിടുമ്പോൾ അറ്റകുറ്റപ്പണി ഫയർവാളിലല്ല, ക്രമീകരണത്തിന്റെ ഭാഗത്താണ്।

ദിശയും പ്രധാനമാണ്। ഉത്തരമില്ലാത്ത അഭ്യർത്ഥനയും ക്ലയന്റിലേക്ക് ഒരിക്കലും എത്താത്ത ഉത്തരവും വ്യത്യസ്ത തകരാറുകളാണ്, രണ്ടാമത്തേത് മാത്രമാണ് ക്ലയന്റ് ഭാഗത്തെ സമയപരിധി പോലെ തോന്നുന്നത്।

നാലാമത്, 4500-ൽ IKE-യെ ബാക്കിയെല്ലാത്തിൽ നിന്നും വേർതിരിക്കുക

4500 പോർട്ട് സംഗ്രഹ കാഴ്ചയിൽ സമാനമായി തോന്നുന്ന മൂന്ന് കാര്യങ്ങൾ വഹിക്കുന്നു: നാല് ബൈറ്റ് പൂജ്യം non-ESP മാർക്കറിന് പിന്നിലെ IKE, മാർക്കർ സ്ഥാനത്ത് പൂജ്യമല്ലാത്ത SPI ഉള്ള എൻകാപ്സുലേറ്റ് ചെയ്ത ESP, ചെറിയ keepalive-കൾ। IKE-യെ എൻകാപ്സുലേറ്റ് ചെയ്ത ESP-യിൽ നിന്ന് വേർതിരിക്കുന്നത് ആ മാർക്കറാണ്, അതിനാൽ ട്രാഫിക്കിനെ IKE എന്ന് വിളിക്കുന്നതിന് മുൻപ് ആ ബൈറ്റുകൾ വായിക്കുക। 4500 എന്ന് വായിക്കുന്ന ക്യാപ്ചർ ലേബൽ പോർട്ട് നമ്പറാണ്, പ്രോട്ടോക്കോളല്ല।

എൻകാപ്സുലേറ്റ് ചെയ്ത ESP കീകളില്ലാതെ വ്യാഖ്യാനിക്കാനാകാത്ത എൻക്രിപ്റ്റ് ചെയ്ത പേലോഡാണ്, അതിന്റെ സാന്നിധ്യം തകരാറല്ല, പ്രവർത്തിക്കുന്ന ടണലിന്റെ സൂചനയായിരിക്കാം।

അതേ ശ്രമത്തിനായി രണ്ട് പോർട്ടുകളും നിരീക്ഷിക്കുക, കാരണം IKE 500-ൽ തുറന്നാലും NAT കണ്ടെത്തിയതിന് ശേഷം 4500-ലേക്ക് മാറാം। 500-ൽ മാത്രം ഫിൽട്ടർ ചെയ്ത ട്രെയ്സ് ചർച്ച വിജയിച്ച് സ്ഥലം മാറിയ അപ്പോൾ മാത്രം നിശ്ശബ്ദമായി തോന്നുന്നു। ഫിൽട്ടർ വിശാലമാക്കി, അഭാവത്തിൽ നിന്ന് ഏതെങ്കിലും നിഗമനത്തിലെത്തുന്നതിന് മുൻപ് അതേ സമയ വിൻഡോ വീണ്ടും വായിക്കുക।

ഒരു നിരീക്ഷണ ബിന്ദുവിലെ മൗനത്തിന്റെ അർത്ഥം

ക്ലയന്റിൽ ഉത്തരമില്ലാത്തത് ആ ബിന്ദു കണ്ടത് മാത്രം തെളിയിക്കുന്നു। ഫിൽട്ടറിംഗ്, റൂട്ടിംഗ്, തെറ്റായ ദൂര വിലാസം, നിലച്ച സേവനം, പ്രോട്ടോക്കോൾ പൊരുത്തക്കേട് എന്നിവയെല്ലാം അതേ ശൂന്യ ട്രെയ്സ് ഉണ്ടാക്കുന്നു।

പ്രസക്തമായ ICMP unreachable തെളിവ് കൂട്ടുന്നു, പക്ഷേ അതിലെ ഉദ്ധരിച്ച പാക്കറ്റ് വായിച്ച് അയച്ച ഉപകരണത്തിന്റെ വിലാസം രേഖപ്പെടുത്തുക।

റൗട്ടറിന്റെ നിരസിക്കൽ ഭാഗം തിരികെ നൽകുന്ന പ്രാമാണീകരിച്ച പിശകിൽ നിന്ന് വ്യത്യസ്ത സംഭവമാണ്, സേവനം ജീവനോടെ ഉണ്ടെന്ന് രണ്ടാമത്തേത് മാത്രം തെളിയിക്കുന്നു। അതേ ശ്രമം സെർവർ ലോഗുകളുമായോ അനുവദിക്കപ്പെട്ട നിരീക്ഷണവുമായോ ബന്ധിപ്പിച്ച് അഭ്യർത്ഥന വന്നോ ഉത്തരം പോയോ എന്ന് അറിയുക। ക്യാപ്ചറുകൾ പരിമിതവും സ്വകാര്യവുമായി സൂക്ഷിക്കുക, കാരണം വായിക്കാവുന്ന ഹാൻഡ്ഷേക്ക് ഫീൽഡുകൾ ബാക്കി ഫയലിനെ നിരുപദ്രവമാക്കുന്നില്ല। മൂല്യമുള്ള ഫലം ഒരു ഒത്തുനോക്കിയ അഭ്യർത്ഥനയും ഉത്തരവും, അല്ലെങ്കിൽ പേരിട്ട നിരീക്ഷണ ബിന്ദുവോടുകൂടിയ ഒരു രേഖപ്പെടുത്തിയ വിടവാണ്।