Kif taqra l-ewwel skambju IKEv2 f'qabda tal-pakketti

Il-qabdiet li jsiru f'nofs sessjoni huma r-raġuni tas-soltu li traċċa IKEv2 tidher bħal ħoss, għax il-partijiet diġà qed iġeddu ċ-ċwievet jew jiskambjaw tagħbijiet ikkriptati meta tibda r-reġistrazzjoni. Ibda minflok bi prova ta' konnessjoni ġdida, sabiex l-ewwel messaġġ fil-fajl ikun dak li jiftaħ in-negozjati. L-ordni tal-qari hawn taħt tassumi dan, u timmarka l-punt fejn pakkett jieqaf jipprova xi ħaġa dwar it-tarf 'il bogħod. Li taqbeż dak il-pass huwa kif tunnel li jaħdem jiġi dijanjostikat bħala port imblukkat.

Ikkonferma li qed tara l-iskambju tal-ftuħ

Negozjazzjoni IKEv2 tibda b'IKE_SA_INIT, tip ta' skambju 34, ID tal-messaġġ 0. L-inizjatur jagħżel SPI li mhuwiex żero, u l-SPI tar-risponditur huwa żero f'dik l-ewwel talba u mhuwiex żero fit-tweġiba. Dawn it-tlett fatti jifirdu prova ġdida minn tiġdid taċ-ċwievet jew minn messaġġ IKE_AUTH li jinsab b'kumbinazzjoni fil-quċċata ta' qabda.

L-oqsma tal-intestatura jinqraw, u hekk ukoll it-tagħbijiet tal-proposta, tal-iskambju taċ-ċwievet u tan-nonce. Li jinqara mhuwiex awtentikat: ebda parti ma wriet identità f'dan il-punt, u l-valur privat ta' Diffie-Hellman qatt ma jidher fuq il-wajer.

Ipprintja l-oqsma bħala tabella minflok ma tiżżerżaq f'pannell ta' dekodifikazzjoni, għax it-trażmissjonijiet mill-ġdid u l-SPI li ma jaqblux isiru ovvji fil-kolonni.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Aqra l-output f'pari. Talba b'ID tal-messaġġ 0 segwita minn tweġiba li ġġorr l-istess ID u SPI tar-risponditur mhux żero hija skambju wieħed, anki meta tidher tliet darbiet għax it-talba ntbagħtet mill-ġdid. Tliet talbiet identiċi mhumiex tliet dħul, u li tittrattahom hekk huwa kif in-nies jikkonkludu li klijent qed idur f'linja meta hu biss paċenzjuż. Issortja skont l-ID tal-messaġġ, imbagħad skont it-timbru tal-ħin, u l-konverżazzjoni kollha tinġabar f'lista qasira ta' provi.

Aqra rifjut qabel ma taqra suċċess

Tweġiba mhijiex awtomatikament progress. Ir-risponditur jista' jwieġeb b'notifika cookie u jistenna li l-inizjatur jerġa' jipprova, jew b'INVALID_KE_PAYLOAD li jismi grupp li minflok kien jaċċetta. It-tnejn jaslu bħala messaġġi IKE ifformati tajjeb, u t-tnejn jidhru bħal skambju mitmum għal filtru li jgħodd biss il-pakketti.

Iftaħ it-tagħbija tan-notifika u aqra t-tip qabel kull ħaġa oħra. Sfida cookie tfisser li r-risponditur qed jiddefendi ruħu minn indirizzi tas-sors iffalsifikati, u l-klijent irid jibgħat mill-ġdid bil-cookie mehmuża. Grupp invalidu jfisser li ż-żewġ proposti ma jaqblux, u l-ebda ammont ta' provi mill-ġdid mhu se jbiddel dan sakemm ma jiċċaqlaqx il-konfigurazzjoni ta' naħa waħda.

Biss IKE_AUTH, it-tieni skambju, iġorr l-identità kriptata u t-tagħbijiet tal-awtentikazzjoni. Għalhekk IKE_SA_INIT mitmum jgħidlek li l-partijiet qablu dwar l-algoritmi u ċ-ċwievet derivati, u xejn affattu dwar jekk il-kredenzjali se jiġux aċċettati. Stenna żewġ messaġġi hemmhekk ukoll, u stenna li t-tnejn ikunu opaki mingħajr iċ-ċwievet tas-sessjoni.

Il-port 4500 mhuwiex protokoll wieħed

UDP 500 normalment iġorr l-iskambju tal-ftuħ. Ladarba sseħħ is-sejbien tan-NAT, IKE jmur għall-4500 u jpoġġi quddiem kull messaġġ markatur ta' erba' bajts ta' żero li mhuwiex ESP. L-ESP inkapsulat fuq l-istess port jibda minflok b'SPI tal-ESP mhux żero, u keepalive tan-NAT ta' bajt wieħed huwa t-tielet forma li tidher meta ma jiġri xejn ieħor.

Filtru li jaqbel biss mal-port iħallat it-tlieta, u għalhekk "hemm traffiku fuq 4500" jiddeċiedi daqshekk ftit. Aqsam il-veduta skont il-protokoll qabel ma tikkonkludi xi ħaġa dwar it-tarf 'il bogħod.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Is-skiet jiddeskrivi l-punt ta' osservazzjoni

Talbiet mingħajr tweġibiet jistabbilixxu eżattament ħaġa waħda: f'dak il-punt tal-qabda ma deher l-ebda tweġiba. Il-filtrazzjoni, rotta li tibgħat it-tweġiba x'imkien ieħor, risponditur li ma jintlaħaqx, jew risponditur li ma jħobbx il-proposta kollha jagħtu l-istess riżultat vojt, u prova UDP ġenerika mhux se tifridhom.

ICMP li ma jintlaħaqx huwa evidenza ta' tip ieħor. Aqra l-pakkett iċċitat ġo fih u identifika liema apparat ħarġu, għax rifjut amministrattiv ta' router mhuwiex żball awtentikat mit-tarf 'il bogħod.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Ikkorrela l-istess prova mal-logs tan-naħa tas-server fejn tista' taqrahom. Waslet it-talba, wieġbet is-servizz, u fejn waqfet it-tweġiba? Dawk it-tliet tweġibiet jibagħtuk lejn problema ta' rotta jew problema ta' politika, u jiswew inqas minn tibdil tal-kredenzjali għar-raba' darba.