Slik les ein fersk IKE_SA_INIT-utveksling i eit opptak

Start med eit opptak som byrjar før den første pakken i forsøket, elles les du midten av ein samtale. Ei forhandling som alt går, viser krypterte utvekslingar og nøkkelfornyingar, og ingen av dei ser ut som opninga. Opninga er den delen du kan dekode utan nøklar, og difor svarar ho så godt på tilgjengelegheitsspørsmål. Fire kontrollar i rekkjefølgje tek deg frå eit ferskt opptak til ein forsvarleg påstand om kva side som slutta å snakke.

Fyrst, stadfest at opptaket byrjar ved byrjinga

Eit opptak starta etter at tunnelen kom opp, vil innehalde den innkapsla datastraumen og periodiske keepalives, og begge er anten krypterte eller nesten tomme. Start klienten på nytt og ta opp sjølve forsøket, eller utløys medvite ei ny tilkopling medan opptaket køyrer. Viss du ikkje kan lage eit ferskt forsøk, skriv det i notata dine, for inga dekoding gjev attende ei opning du aldri tok opp.

Avgrens opptaket til dei to endepunkta og til UDP 500 og 4500, slik at fila held seg lita nok til å lesast. På ein travel vert gravlegg eit ufiltrert opptak forhandlinga under urelatert trafikk.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Ta vare på fila når forsøket er interessant, for det same opptaket svarar på begge dei neste spørsmåla: kva utvekslinga var, og om noko kom attende. Merk det med starttida og endepunktparet du filtrerte på. Eit opptak utan desse to fakta er unyttig ei veke seinare, når adressene er endra og ingen hugsar kva forsøk det tok opp.

Deretter, les hovudet før nyttelastene

IKE-hovudet ber tryggleiksparameterindeksane, utvekslingstypen og meldings-ID-en, og ved ei ny forhandling er desse verdiane særeigne. Initiativtakaren finn opp ein SPI ulik null, den første førespurnaden ber ein responder-SPI på null fordi ingen svar er sette enno, utvekslingstypen er IKE_SA_INIT, og meldings-ID-en er null. Alt anna høyrer til eit seinare trinn i same forhandling eller til eit heilt anna forsøk.

Framleggs-, nøkkelutvekslings- og nonce-nyttelastene i denne første utvekslinga er lesbare i klartekst. Lesbar er ikkje det same som autentisert, og på dette tidspunktet har ingen av partane prova identiteten sin.

Den private Diffie-Hellman-verdien kryssar aldri leidninga, så opptaket lèt deg ikkje utleie sesjonsnøklar. Autentiseringa skjer i den neste utvekslinga, verna av det den første forhandla fram. Viss nokon spør om ein part er ekte, kan denne utvekslinga ikkje svare på det spørsmålet. Ho kan berre vise at begge sider vart samde om eit framlegg og laga ein felles løyndom som fila ikkje inneheld.

Tredje, kople førespurnaden til svaret

Kople på SPI-paret, utvekslingstypen og meldings-ID-en, og kontroller deretter svarflagget. Ein retransmisjon gjer om att meldings-ID-en til originalen og er ikkje eit andre innloggingsforsøk. Å telje pakkar i staden for utvekslingar er måten ei sunn forhandling vert ei fantomløkke.

Eit svar kan òg vere ei avvising: ein cookie-førespurnad, ei melding om ei uakseptabel gruppe eller ein feil om eit framlegg. Det er legitime svar, og dei tydar at vegen verkar medan politikken ikkje gjer det. Dekod meldinga i staden for å sjå på kvart svar som ein suksess. Når meldinga nemner ei gruppe eller eit framlegg, er rettinga på konfigurasjonssida og ikkje ved brannmuren.

Retninga har òg noko å seie. Ein førespurnad utan svar og eit svar som aldri når klienten, er ulike feil, og berre det andre ser ut som ein tidsavbrot på klientsida.

Fjerde, skil IKE frå alt anna på 4500

Port 4500 ber tre ting som ser like ut i ei oversikt: IKE bak ein fire-byte null-non-ESP-markør, innkapsla ESP der markørposisjonen held ein SPI ulik null, og korte keepalives. Det er markøren som skil IKE frå innkapsla ESP, så les dei byta før du kallar trafikken IKE. Ei opptaksmerkelapp som les 4500, er eit portnummer og ikkje ein protokoll.

Innkapsla ESP er kryptert nyttelast du ikkje kan tolke utan nøklar, og tilstadevering kan vere teiknet på ein fungerande tunnel snarare enn ein feil.

Følg med på begge portane for det same forsøket, for IKE kan flytte til 4500 etter NAT-påvising sjølv om det opna på 500. Eit spor filtrert berre på 500 ser stille ut nettopp når forhandlinga lukkast og flytta seg. Utvid filteret og les det same tidsvindauget på nytt før du dreg nokon konklusjon av fråværet.

Kva tausheit på eitt observasjonspunkt tyder

Utan svar hos klienten beviser berre det punktet observerte. Filtrering, ruting, feil fjernadresse, ein teneste som er nede og eit protokollavvik gjev alle det same tome sporet.

Ein relevant ICMP unreachable legg til bevis, men les den siterte pakken inni han og noter adressa til eininga som sende han.

Eit rutaravslag er ei anna hending enn ein autentisert feil som parten returnerer, og berre den andre beviser at tenesta lever. Korreler det same forsøket med serverloggar eller ei godkjend observasjon for å vite om førespurnaden kom og om eit svar gjekk ut. Hald opptak avgrensa og private, for lesbare handtrykkfelt gjer ikkje resten av fila ufarleg. Resultatet som er verdt å ha, er eitt para førespurnad og svar, eller eitt dokumentert hol med eit namngjeve observasjonspunkt.