Għaliex tcpdump juri t-test bla ċifrar tal-IPsec f'direzzjoni waħda biss

Tħaddem tcpdump fuq l-interface ta' barra ta' gateway IPsec Linux u tara żewġ affarijiet f'daqqa: frames ESP li jidħlu u, eżatt warajhom, il-packets interni deċifrati. Fil-ħruġ jidher biss ESP. Il-konklużjoni naturali hija li r-risposti mhumiex qed jintbagħtu jew li l-IPsec jikkripta direzzjoni waħda u jinsa l-oħra. Tnejn minnhom mhumiex veri.

Dak li qed tara huwa punt tal-qbid. Il-kernel jittrasforma l-packets ħerġin qabel ma t-triq tat-trażmissjoni tal-apparat tgħaddihom lis-socket tal-packets, għalhekk is-socket qatt ma jara l-forma interna ħierġa. Fid-dħul, il-packet jinqabad l-ewwel bħala ESP u l-kopja deċapsulata tidher meta terġa' tidħol fil-stack. L-istess traffiku, żewġ twieqi ta' osservazzjoni differenti.

Il-punt tal-qbid jiddeċiedi x'tara

Fuq interface normali, socket AF_PACKET joqgħod qrib is-saff tal-apparat. Il-packets li jħallu l-host jgħaddu l-ewwel mill-ipproċessar tal-ħruġ tal-IPsec, li jibdel segment TCP intern f'datagram ESP jew UDP-4500, u jasal biss wara f'dak is-saff. Il-packets li jaslu jiġu kkupjati fis-socket hekk kif joħorġu mill-wajer, għadhom ikkriptati, u r-riżultat deċifrat jidher aktar tard meta l-istack jgħaddih lokalment jew jgħaddih 'il quddiem.

Dik is-sekwenza tispjega l-asimmetrija għal kollox. Mhix prova dwar id-direzzjoni, il-politika jew l-imġiba tal-applikazzjoni, u meta tittratta hekk, in-nies isegwu risposta li kienet intbagħtet sew il-ħin kollu. Din hija waħda mill-ftit taħbil tal-netwerk fejn l-istrument, mhux in-netwerk, joħloq l-anomalija.

Qabbil il-filter mas-saff li qed tfisser

Espressjoni bħal tcp port 443 tagħżel konnessjoni TCP interna. Fil-ħruġ, dik il-konnessjoni diġà saret ESP meta s-socket jiġi mistoqsi, għalhekk il-filter ma jaqbel ma' xejn. Jekk trid tgħodd traffiku protett, iffilter fuq il-forma ta' barra minflok: protokoll 50 għal ESP mhux maħdum, jew port UDP 4500 meta tintuża l-qsim tan-NAT. Iż-żewġ filters jagħtu għadd ta' packets li jista' jitqabbel bejn iż-żewġ pari, li normalment huwa r-raġuni tal-għadd xorta waħda. Ħadd minnhom ma jgħidlek jekk it-talba interna ġietx imwieġba.

Tittrattax għadd ta' UDP 4500 bħala għadd ta' packets ESP. L-IKE juża dak il-port ukoll għall-messaġġi ta' żamma tal-NAT-T u għall-iskambju inkapsulat, għalhekk in-numru jinkludi traffiku li mhuwiex id-data li ridt tkejjel. L-iskambju inizjali tal-IKE fuq UDP 500 jeħtieġ filter tiegħu jekk dik hija l-mistoqsija. Numru li jħallat traffiku ta' kontroll mad-data jagħmel ukoll kull stima tal-bandwidth ħażina b'marġni mhux magħruf. Għaddiet separati jwieġbu mistoqsijiet separati.

Ikteb il-filter ħdejn il-mistoqsija li jwieġeb. «Kemm ESP ħareġ mill-kaxxa» u «ħarġet it-talba tal-web mill-kaxxa» huma kejl differenti b'filters differenti, u qbid wieħed ma jistax jiddeċiedi t-tnejn. Mingħajr dik in-nota, żewġ persuni jqabblu numri li qatt ma kienu qed jgħoddu l-istess ħaġa.

Osserva qabel it-trasformazzjoni, mhux wara

Jekk għandek bżonn tara t-test ċar ħiereġ, ċaqlaq il-punt tal-osservazzjoni eqreb lejn il-bidu, qabel l-ipproċessar tal-ħruġ tal-IPsec. NFLOG jagħtik hook tan-Netfilter fejn regola tista' tikkupja packets magħżula f'socket fl-ispazju tal-utent, li tcpdump jista' jaqra. Il-gwida tat-tbattil tat-traffiku ta' strongSwan tiddokumenta dan l-approċċ proprju għal din ir-raġuni.

It-tqabbil tal-politika jillimita r-regola għat-traffiku li wasal biex jidħol f'tunnel. -m policy --pol ipsec --dir out huwa dak li jagħmel ir-regola speċifika minflok ma jirreġistra kull packet li tibgħat il-kaxxa. Imbagħad aqra l-grupp tal-log b'qbid limitat: għadd żgħir ta' snapshots u limitu tad-daqs iżommu d-dijanjosi milli ssir arkivju tat-traffiku. Qbid limitat huwa wkoll eħfef li tingħata lil reviżur mingħajr ma tġib magħha tagħbija mhux rilevanti. Iddeċiedi l-għadd qabel tibda, mhux wara li tara kemm wasal.

iptables -I OUTPUT 1 -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5
tcpdump -ni nflog:5 -s 128 -c 20 'host 10.83.0.44 and tcp port 8443'

Agħżel il-hook li jaqbel mal-fluss. OUTPUT ikopri traffiku li l-gateway innifsu jiġġenera; it-transitu minn klijent LAN jgħaddi mill-katina FORWARD minflok, u regola fuq OUTPUT qatt ma tarah. L-indirizz u l-port hawn fuq huma sostituti għal destinazzjoni tat-test approvata.

X'jipprova l-osservazzjoni

NFLOG huwa mira tal-irreġistrar, mhux deċiżjoni ta' aċċettazzjoni. Packet li jidher hemmhekk juri li wasal għall-hook u qabel mar-regola. Ma jurix li filter aktar tard ħallieh, li l-apparat trażmetieh jew li l-pari rċieva xi ħaġa.

Log vojt huwa ugwalment ambigwu. Iċċekkja l-counter tal-packets tar-regola, ikkonferma d-direzzjoni, ikkonferma li l-fluss fil-fatt qabel ma' politika tal-IPsec, u kkonferma d-destinazzjoni. Biss counter li jaqbel fuq iż-żewġ pari jbiddel osservazzjoni f'konklużjoni. Imbagħad qabbel il-counters tal-assoċjazzjoni tas-sigurtà fuq iż-żewġ pari għall-istess tentattiv ikkontrollat, għax il-counters SA huma r-rekord awtorevoli ta' dak li ġie protett u mibgħut.

Nassa oħra: «test ċar» f'dan il-kuntest ifisser barra s-saff tal-kriptaġġ tal-IPsec. Sessjoni HTTPS interna għad għandha t-TLS tagħha. Il-qbid tal-packet deċapsulat ma jiddekriptax it-TLS tal-applikazzjoni, u li tara HTTP li jinqara hemm ifisser li l-applikazzjoni qatt ma kienet qed tuża HTTPS.

Naddaf u qabbel iż-żewġt itruf

Neħħi r-regola eżatta li daħħalt, skont is-sid tagħha, hekk kif l-osservazzjoni tintemm. Li tħalli regola tal-irreġistrar f'postha tiswa CPU fuq kull packet li jaqbel u bil-kwiet toħloq problema ta' żamma tad-data. Ħassar billi tirrepeti r-regola b'-D minflok ma tlaħlaħ katina li mhix tiegħek.

iptables -D OUTPUT -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

Jekk l-implimentazzjoni tuża IPsec fl-ispazju tal-utent, interface XFRM jew offload tal-hardware, il-punti tal-osservazzjoni jiċċaqilqu u din ir-riċetta forsi ma tapplikax xejn. B'libipsec, il-post iddokumentat biex tosserva traffiku intern huwa l-apparat TUN. Identifika l-mogħdija l-ewwel, imbagħad agħżel il-punt li jwieġeb il-mistoqsija, u stenna li ż-żewġ direzzjonijiet jidhru differenti biss meta tkun qed tħares lejn in-naħa ħażina tat-trasformazzjoni.