Cara membaca pertukaran IKE_SA_INIT baharu dalam tangkapan

Mulakan dengan tangkapan yang bermula sebelum paket pertama cubaan, jika tidak anda akan membaca pertengahan perbualan. Rundingan yang sudah berjalan menunjukkan pertukaran disulitkan dan pembaharuan kunci, dan kedua-duanya tidak kelihatan seperti pembukaan. Pembukaan ialah bahagian yang boleh anda nyahkod tanpa kunci, sebab itulah ia menjawab soalan kebolehcapaian dengan baik. Empat pemeriksaan mengikut urutan membawa anda daripada tangkapan baharu kepada pernyataan yang boleh dipertahankan tentang pihak mana yang berhenti bercakap.

Pertama, sahkan tangkapan bermula dari awal

Tangkapan yang dimulakan selepas terowong naik akan mengandungi aliran data terkapsul dan keepalive berkala, dan kedua-duanya sama ada disulitkan atau hampir kosong. Mulakan semula klien dan rakam cubaan itu sendiri, atau cetuskan sambungan baharu secara sengaja semasa tangkapan berjalan. Jika anda tidak dapat menghasilkan cubaan baharu, catatkan dalam nota anda, kerana tiada penyahkodan dapat memulihkan pembukaan yang tidak pernah anda rakam.

Hadkan tangkapan kepada dua titik akhir dan kepada UDP 500 dan 4500 supaya fail kekal cukup kecil untuk dibaca. Pada hos yang sibuk, tangkapan tanpa penapis menimbus rundingan di bawah trafik tidak berkaitan.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Simpan fail apabila cubaan itu menarik, kerana tangkapan yang sama menjawab kedua-dua soalan berikut: apa pertukarannya, dan sama ada sesuatu kembali. Labelkannya dengan masa mula dan pasangan titik akhir yang anda tapis. Tangkapan tanpa dua fakta itu tidak berguna seminggu kemudian, apabila alamat telah berubah dan tiada siapa ingat cubaan mana yang dirakam.

Kedua, baca pengepala sebelum muatan

Pengepala IKE membawa indeks parameter keselamatan, jenis pertukaran dan ID mesej, dan pada rundingan baharu nilai-nilai itu tersendiri. Pemula mencipta SPI bukan sifar, permintaan awal membawa SPI penjawab sifar kerana belum ada balasan dilihat, jenis pertukaran ialah IKE_SA_INIT, dan ID mesej ialah sifar. Apa-apa lagi tergolong dalam peringkat kemudian rundingan yang sama atau cubaan yang jauh berbeza.

Muatan cadangan, pertukaran kunci dan nonce dalam pertukaran pertama ini boleh dibaca secara terbuka. Boleh dibaca bukan bermakna disahkan, dan pada tahap ini tiada pihak membuktikan identitinya.

Nilai peribadi Diffie-Hellman tidak pernah melintasi wayar, jadi tangkapan tidak membenarkan anda memperoleh kunci sesi. Pengesahan berlaku dalam pertukaran seterusnya, dilindungi oleh apa yang dirundingkan yang pertama. Jika seseorang bertanya sama ada sesuatu pihak itu asli, pertukaran ini tidak dapat menjawab soalan itu. Ia hanya boleh menunjukkan bahawa kedua-dua pihak bersetuju dengan cadangan dan menghasilkan rahsia bersama yang tiada dalam fail.

Ketiga, padankan permintaan dengan balasannya

Padankan pada pasangan SPI, jenis pertukaran dan ID mesej, kemudian periksa bendera balasan. Penghantaran semula mengulang ID mesej asal dan bukan cubaan log masuk kedua. Mengira paket dan bukannya pertukaran ialah cara rundingan sihat bertukar menjadi gelung hantu.

Balasan juga boleh menjadi penolakan: permintaan cookie, pemberitahuan kumpulan tidak boleh diterima, atau ralat tentang cadangan. Itu jawapan sah, dan bermakna laluan berfungsi manakala dasar tidak. Nyahkod pemberitahuan itu dan bukannya menganggap setiap balasan sebagai kejayaan. Apabila pemberitahuan menamakan kumpulan atau cadangan, pembaikan ada di sisi konfigurasi dan bukan pada tembok api.

Arah juga penting. Permintaan tanpa balasan dan balasan yang tidak pernah sampai kepada klien ialah kerosakan berbeza, dan hanya yang kedua kelihatan seperti tamat masa di sisi klien.

Keempat, asingkan IKE daripada segala yang lain pada 4500

Port 4500 membawa tiga perkara yang kelihatan serupa dalam paparan ringkas: IKE di belakang penanda non-ESP sifar empat bait, ESP terkapsul yang kedudukan penandanya mengandungi SPI bukan sifar, dan keepalive pendek. Penanda itulah yang memisahkan IKE daripada ESP terkapsul, jadi baca bait itu sebelum melabel trafik sebagai IKE. Label tangkapan yang membaca 4500 ialah nombor port, bukan protokol.

ESP terkapsul ialah muatan disulitkan yang tidak dapat anda tafsirkan tanpa kunci, dan kehadirannya mungkin tanda terowong yang berfungsi dan bukan kerosakan.

Pantau kedua-dua port untuk cubaan yang sama, kerana IKE boleh berpindah ke 4500 selepas pengesanan NAT walaupun dibuka pada 500. Jejak yang ditapis hanya pada 500 kelihatan senyap tepat apabila rundingan berjaya dan berpindah. Luaskan penapis dan baca semula tetingkap masa yang sama sebelum membuat sebarang kesimpulan daripada ketiadaan.

Apa maksud kesenyapan pada satu titik pemerhatian

Tiada balasan pada klien hanya membuktikan apa yang titik itu perhatikan. Penapisan, penghalaan, alamat jauh yang salah, perkhidmatan yang mati dan ketidakpadanan protokol semuanya menghasilkan jejak kosong yang sama.

ICMP unreachable yang berkaitan menambah bukti, tetapi baca paket yang dipetik di dalamnya dan catat alamat peranti yang menghantarnya.

Penolakan penghala ialah peristiwa berbeza daripada ralat disahkan yang dikembalikan oleh pihak lain, dan hanya yang kedua membuktikan perkhidmatan masih hidup. Kaitkan cubaan yang sama dengan log pelayan atau pemerhatian yang diluluskan untuk mengetahui sama ada permintaan tiba dan sama ada balasan keluar. Kekalkan tangkapan terhad dan peribadi, kerana medan jabat tangan yang boleh dibaca tidak menjadikan seluruh fail tidak berbahaya. Hasil yang berharga ialah satu permintaan dan balasan yang dipadankan, atau satu jurang didokumenkan dengan titik pemerhatian bernama.