ਕੈਪਚਰ ਵਿੱਚ ਨਵਾਂ IKE_SA_INIT ਤਬਾਦਲਾ ਕਿਵੇਂ ਪੜ੍ਹੀਏ

ਉਸ ਕੈਪਚਰ ਤੋਂ ਸ਼ੁਰੂ ਕਰੋ ਜੋ ਕੋਸ਼ਿਸ਼ ਦੇ ਪਹਿਲੇ ਪੈਕਟ ਤੋਂ ਪਹਿਲਾਂ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ, ਨਹੀਂ ਤਾਂ ਤੁਸੀਂ ਗੱਲਬਾਤ ਦਾ ਵਿਚਕਾਰ ਪੜ੍ਹੋਗੇ। ਪਹਿਲਾਂ ਹੀ ਚੱਲ ਰਹੀ ਗੱਲਬਾਤ ਐਨਕ੍ਰਿਪਟਿਡ ਤਬਾਦਲੇ ਅਤੇ ਕੁੰਜੀ ਨਵੀਨੀਕਰਨ ਦਿਖਾਉਂਦੀ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਸ਼ੁਰੂਆਤ ਵਰਗਾ ਨਹੀਂ ਲੱਗਦਾ। ਸ਼ੁਰੂਆਤ ਉਹ ਹਿੱਸਾ ਹੈ ਜੋ ਕੁੰਜੀਆਂ ਤੋਂ ਬਿਨਾਂ ਡੀਕੋਡ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ, ਇਸੇ ਲਈ ਇਹ ਪਹੁੰਚ ਸੰਬੰਧੀ ਸਵਾਲਾਂ ਦਾ ਇੰਨਾ ਵਧੀਆ ਜਵਾਬ ਦਿੰਦੀ ਹੈ। ਕ੍ਰਮ ਨਾਲ ਚਾਰ ਜਾਂਚਾਂ ਤੁਹਾਨੂੰ ਤਾਜ਼ਾ ਕੈਪਚਰ ਤੋਂ ਇਸ ਬਿਆਨ ਤੱਕ ਲੈ ਜਾਂਦੀਆਂ ਹਨ ਕਿ ਕਿਹੜਾ ਪਾਸਾ ਬੋਲਣਾ ਬੰਦ ਕੀਤਾ।

ਪਹਿਲਾਂ, ਪੱਕਾ ਕਰੋ ਕਿ ਕੈਪਚਰ ਸ਼ੁਰੂ ਤੋਂ ਹੀ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ

ਟਨਲ ਚੜ੍ਹਨ ਤੋਂ ਬਾਅਦ ਸ਼ੁਰੂ ਹੋਇਆ ਕੈਪਚਰ ਐਨਕੈਪਸੁਲੇਟਿਡ ਡੇਟਾ ਸਟ੍ਰੀਮ ਅਤੇ ਨਿਯਮਿਤ keepalive ਰੱਖੇਗਾ, ਅਤੇ ਦੋਵੇਂ ਜਾਂ ਐਨਕ੍ਰਿਪਟਿਡ ਹਨ ਜਾਂ ਲਗਭਗ ਖਾਲੀ। ਕਲਾਇੰਟ ਨੂੰ ਦੁਬਾਰਾ ਚਾਲੂ ਕਰੋ ਅਤੇ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਆਪ ਰਿਕਾਰਡ ਕਰੋ, ਜਾਂ ਕੈਪਚਰ ਚੱਲਦੇ ਸਮੇਂ ਜਾਣਬੁੱਝ ਕੇ ਨਵਾਂ ਕਨੈਕਸ਼ਨ ਪੈਦਾ ਕਰੋ। ਜੇ ਤੁਸੀਂ ਤਾਜ਼ਾ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ ਬਣਾ ਸਕਦੇ ਤਾਂ ਆਪਣੇ ਨੋਟਾਂ ਵਿੱਚ ਲਿਖੋ, ਕਿਉਂਕਿ ਕੋਈ ਵੀ ਡੀਕੋਡਿੰਗ ਉਸ ਸ਼ੁਰੂਆਤ ਨੂੰ ਵਾਪਸ ਨਹੀਂ ਲਿਆਉਂਦੀ ਜੋ ਤੁਸੀਂ ਕਦੇ ਰਿਕਾਰਡ ਨਹੀਂ ਕੀਤੀ।

ਕੈਪਚਰ ਨੂੰ ਦੋ ਸਿਰਿਆਂ ਅਤੇ UDP 500 ਤੇ 4500 ਤੱਕ ਸੀਮਤ ਕਰੋ ਤਾਂ ਜੋ ਫਾਈਲ ਪੜ੍ਹਨ ਯੋਗ ਛੋਟੀ ਰਹੇ। ਰੁੱਝੇ ਹੋਸਟ ਉੱਤੇ ਬਿਨਾਂ ਫਿਲਟਰ ਦਾ ਕੈਪਚਰ ਗੱਲਬਾਤ ਨੂੰ ਅਸੰਬੰਧਿਤ ਟ੍ਰੈਫਿਕ ਹੇਠ ਦੱਬ ਦਿੰਦਾ ਹੈ।

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

ਜਦੋਂ ਕੋਸ਼ਿਸ਼ ਦਿਲਚਸਪ ਹੋਵੇ ਤਾਂ ਫਾਈਲ ਰੱਖੋ, ਕਿਉਂਕਿ ਉਹੀ ਕੈਪਚਰ ਅਗਲੇ ਦੋਵੇਂ ਸਵਾਲਾਂ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ: ਤਬਾਦਲਾ ਕੀ ਸੀ, ਅਤੇ ਕੁਝ ਵਾਪਸ ਆਇਆ ਜਾਂ ਨਹੀਂ। ਉਸ ਉੱਤੇ ਸ਼ੁਰੂ ਹੋਣ ਦਾ ਸਮਾਂ ਅਤੇ ਤੁਸੀਂ ਫਿਲਟਰ ਕੀਤੀ ਸਿਰੇ ਦੀ ਜੋੜੀ ਲਿਖੋ। ਇਹਨਾਂ ਦੋ ਤੱਥਾਂ ਤੋਂ ਬਿਨਾਂ ਕੈਪਚਰ ਇੱਕ ਹਫ਼ਤੇ ਬਾਅਦ ਬੇਕਾਰ ਹੈ, ਜਦੋਂ ਪਤੇ ਬਦਲ ਚੁੱਕੇ ਹੋਣ ਅਤੇ ਕਿਸੇ ਨੂੰ ਯਾਦ ਨਾ ਹੋਵੇ ਕਿ ਕਿਹੜੀ ਕੋਸ਼ਿਸ਼ ਰਿਕਾਰਡ ਹੋਈ ਸੀ।

ਦੂਜਾ, ਪੇਲੋਡਾਂ ਤੋਂ ਪਹਿਲਾਂ ਹੈਡਰ ਪੜ੍ਹੋ

IKE ਹੈਡਰ ਸੁਰੱਖਿਆ ਪੈਰਾਮੀਟਰ ਸੂਚਕਾਂਕ, ਤਬਾਦਲੇ ਦੀ ਕਿਸਮ ਅਤੇ ਸੁਨੇਹਾ ID ਰੱਖਦਾ ਹੈ, ਅਤੇ ਨਵੀਂ ਗੱਲਬਾਤ ਵਿੱਚ ਇਹ ਮੁੱਲ ਵਿਲੱਖਣ ਹੁੰਦੇ ਹਨ। ਸ਼ੁਰੂ ਕਰਨ ਵਾਲਾ ਗ਼ੈਰ-ਸਿਫ਼ਰ SPI ਬਣਾਉਂਦਾ ਹੈ, ਸ਼ੁਰੂਆਤੀ ਬੇਨਤੀ ਜਵਾਬਦੇਣ ਵਾਲੇ ਦਾ ਸਿਫ਼ਰ SPI ਰੱਖਦੀ ਹੈ ਕਿਉਂਕਿ ਹਾਲੇ ਕੋਈ ਜਵਾਬ ਨਹੀਂ ਦੇਖਿਆ ਗਿਆ, ਤਬਾਦਲੇ ਦੀ ਕਿਸਮ IKE_SA_INIT ਹੈ, ਅਤੇ ਸੁਨੇਹਾ ID ਸਿਫ਼ਰ ਹੈ। ਬਾਕੀ ਸਭ ਕੁਝ ਉਸੇ ਗੱਲਬਾਤ ਦੇ ਬਾਅਦ ਦੇ ਪੜਾਅ ਦਾ ਜਾਂ ਬਿਲਕੁਲ ਵੱਖਰੀ ਕੋਸ਼ਿਸ਼ ਦਾ ਹੈ।

ਇਸ ਪਹਿਲੇ ਤਬਾਦਲੇ ਵਿੱਚ ਪ੍ਰਸਤਾਵ, ਕੁੰਜੀ ਤਬਾਦਲਾ ਅਤੇ nonce ਪੇਲੋਡ ਖੁੱਲ੍ਹੇ ਰੂਪ ਵਿੱਚ ਪੜ੍ਹੇ ਜਾ ਸਕਦੇ ਹਨ। ਪੜ੍ਹਨਯੋਗ ਹੋਣਾ ਪ੍ਰਮਾਣਿਤ ਹੋਣਾ ਨਹੀਂ ਹੈ, ਅਤੇ ਇਸ ਮੋੜ ਉੱਤੇ ਕਿਸੇ ਵੀ ਧਿਰ ਨੇ ਆਪਣੀ ਪਛਾਣ ਸਾਬਤ ਨਹੀਂ ਕੀਤੀ।

ਨਿੱਜੀ Diffie-Hellman ਮੁੱਲ ਕਦੇ ਤਾਰ ਉੱਤੇ ਨਹੀਂ ਲੰਘਦਾ, ਇਸ ਲਈ ਕੈਪਚਰ ਤੁਹਾਨੂੰ ਸੈਸ਼ਨ ਕੁੰਜੀਆਂ ਕੱਢਣ ਨਹੀਂ ਦਿੰਦਾ। ਪ੍ਰਮਾਣਿਕਤਾ ਅਗਲੇ ਤਬਾਦਲੇ ਵਿੱਚ ਹੁੰਦੀ ਹੈ, ਜੋ ਪਹਿਲੇ ਵੱਲੋਂ ਤੈਅ ਕੀਤੇ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਹੈ। ਜੇ ਕੋਈ ਪੁੱਛੇ ਕਿ ਧਿਰ ਅਸਲੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਤਾਂ ਇਹ ਤਬਾਦਲਾ ਉਸ ਸਵਾਲ ਦਾ ਜਵਾਬ ਨਹੀਂ ਦੇ ਸਕਦਾ। ਇਹ ਸਿਰਫ਼ ਇਹ ਦਿਖਾ ਸਕਦਾ ਹੈ ਕਿ ਦੋਵੇਂ ਧਿਰਾਂ ਇੱਕ ਪ੍ਰਸਤਾਵ ਉੱਤੇ ਸਹਿਮਤ ਹੋਈਆਂ ਅਤੇ ਇੱਕ ਸਾਂਝਾ ਭੇਤ ਬਣਾਇਆ ਜੋ ਫਾਈਲ ਵਿੱਚ ਨਹੀਂ ਹੈ।

ਤੀਜਾ, ਬੇਨਤੀ ਨੂੰ ਉਸ ਦੇ ਜਵਾਬ ਨਾਲ ਮਿਲਾਓ

SPI ਜੋੜੀ, ਤਬਾਦਲੇ ਦੀ ਕਿਸਮ ਅਤੇ ਸੁਨੇਹਾ ID ਉੱਤੇ ਮਿਲਾਓ, ਫਿਰ ਜਵਾਬ ਦਾ ਝੰਡਾ ਜਾਂਚੋ। ਦੁਬਾਰਾ ਭੇਜਣਾ ਮੂਲ ਦਾ ਸੁਨੇਹਾ ID ਦੁਹਰਾਉਂਦਾ ਹੈ ਅਤੇ ਦੂਜੀ ਲੌਗਇਨ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ ਹੈ। ਤਬਾਦਲਿਆਂ ਦੀ ਥਾਂ ਪੈਕਟ ਗਿਣਨਾ ਹੀ ਉਹ ਰਾਹ ਹੈ ਜਿਸ ਨਾਲ ਸਿਹਤਮੰਦ ਗੱਲਬਾਤ ਭੂਤ ਲੂਪ ਬਣ ਜਾਂਦੀ ਹੈ।

ਜਵਾਬ ਇਨਕਾਰ ਵੀ ਹੋ ਸਕਦਾ ਹੈ: ਕੁਕੀ ਬੇਨਤੀ, ਨਾ-ਕਬੂਲ ਸਮੂਹ ਦੀ ਸੂਚਨਾ, ਜਾਂ ਪ੍ਰਸਤਾਵ ਬਾਰੇ ਗਲਤੀ। ਇਹ ਵੈਧ ਜਵਾਬ ਹਨ, ਅਤੇ ਇਹਨਾਂ ਦਾ ਅਰਥ ਹੈ ਕਿ ਰਾਹ ਕੰਮ ਕਰਦਾ ਹੈ ਪਰ ਨੀਤੀ ਨਹੀਂ। ਹਰ ਜਵਾਬ ਨੂੰ ਸਫਲਤਾ ਮੰਨਣ ਦੀ ਥਾਂ ਸੂਚਨਾ ਡੀਕੋਡ ਕਰੋ। ਜਦੋਂ ਸੂਚਨਾ ਸਮੂਹ ਜਾਂ ਪ੍ਰਸਤਾਵ ਦਾ ਨਾਂ ਲੈਂਦੀ ਹੈ, ਸੁਧਾਰ ਫਾਇਰਵਾਲ ਉੱਤੇ ਨਹੀਂ, ਸੰਰਚਨਾ ਵੱਲ ਹੁੰਦਾ ਹੈ।

ਦਿਸ਼ਾ ਵੀ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਬਿਨਾਂ ਜਵਾਬ ਦੀ ਬੇਨਤੀ ਅਤੇ ਕਲਾਇੰਟ ਤੱਕ ਕਦੇ ਨਾ ਪਹੁੰਚਣ ਵਾਲਾ ਜਵਾਬ ਵੱਖਰੀਆਂ ਖਰਾਬੀਆਂ ਹਨ, ਅਤੇ ਸਿਰਫ਼ ਦੂਜੀ ਹੀ ਕਲਾਇੰਟ-ਪਾਸੇ ਦੀ ਸਮਾਂ-ਸੀਮਾ ਵਰਗੀ ਲੱਗਦੀ ਹੈ।

ਚੌਥਾ, 4500 ਉੱਤੇ IKE ਨੂੰ ਬਾਕੀ ਸਭ ਤੋਂ ਵੱਖ ਕਰੋ

4500 ਪੋਰਟ ਉੱਤੇ ਤਿੰਨ ਚੀਜ਼ਾਂ ਹਨ ਜੋ ਸੰਖੇਪ ਨਜ਼ਰ ਵਿੱਚ ਇਕੋ ਜਿਹੀਆਂ ਲੱਗਦੀਆਂ ਹਨ: ਚਾਰ-ਬਾਈਟ ਸਿਫ਼ਰ non-ESP ਮਾਰਕਰ ਪਿੱਛੇ IKE, ਐਨਕੈਪਸੁਲੇਟਿਡ ESP ਜਿਸ ਦੇ ਮਾਰਕਰ ਦੀ ਥਾਂ ਗ਼ੈਰ-ਸਿਫ਼ਰ SPI ਹੈ, ਅਤੇ ਛੋਟੇ keepalive। IKE ਨੂੰ ਐਨਕੈਪਸੁਲੇਟਿਡ ESP ਤੋਂ ਵੱਖ ਕਰਨ ਵਾਲਾ ਉਹੀ ਮਾਰਕਰ ਹੈ, ਇਸ ਲਈ ਟ੍ਰੈਫਿਕ ਨੂੰ IKE ਕਹਿਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹ ਬਾਈਟ ਪੜ੍ਹੋ। 4500 ਪੜ੍ਹਨ ਵਾਲਾ ਕੈਪਚਰ ਲੇਬਲ ਪੋਰਟ ਨੰਬਰ ਹੈ, ਪ੍ਰੋਟੋਕੋਲ ਨਹੀਂ।

ਐਨਕੈਪਸੁਲੇਟਿਡ ESP ਐਨਕ੍ਰਿਪਟਿਡ ਪੇਲੋਡ ਹੈ ਜਿਸ ਨੂੰ ਕੁੰਜੀਆਂ ਤੋਂ ਬਿਨਾਂ ਸਮਝਿਆ ਨਹੀਂ ਜਾ ਸਕਦਾ, ਅਤੇ ਇਸ ਦੀ ਮੌਜੂਦਗੀ ਖਰਾਬੀ ਦੀ ਥਾਂ ਚੱਲ ਰਹੀ ਟਨਲ ਦਾ ਸੰਕੇਤ ਹੋ ਸਕਦੀ ਹੈ।

ਉਸੇ ਕੋਸ਼ਿਸ਼ ਲਈ ਦੋਵੇਂ ਪੋਰਟ ਵੇਖੋ, ਕਿਉਂਕਿ NAT ਪਛਾਣ ਤੋਂ ਬਾਅਦ IKE 4500 ਉੱਤੇ ਜਾ ਸਕਦਾ ਹੈ ਭਾਵੇਂ ਇਹ 500 ਉੱਤੇ ਖੁੱਲ੍ਹਿਆ ਸੀ। ਸਿਰਫ਼ 500 ਉੱਤੇ ਫਿਲਟਰ ਕੀਤਾ ਟਰੇਸ ਠੀਕ ਤਦੋਂ ਹੀ ਚੁੱਪ ਲੱਗਦਾ ਹੈ ਜਦੋਂ ਗੱਲਬਾਤ ਸਫਲ ਹੋ ਕੇ ਥਾਂ ਬਦਲੀ ਹੋਵੇ। ਫਿਲਟਰ ਚੌੜਾ ਕਰੋ ਅਤੇ ਗੈਰਹਾਜ਼ਰੀ ਤੋਂ ਕੋਈ ਸਿੱਟਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਉਹੀ ਸਮਾਂ-ਖਿੜਕੀ ਦੁਬਾਰਾ ਪੜ੍ਹੋ।

ਇੱਕ ਨਿਰੀਖਣ ਬਿੰਦੂ ਉੱਤੇ ਚੁੱਪ ਦਾ ਅਰਥ

ਕਲਾਇੰਟ ਉੱਤੇ ਜਵਾਬ ਨਾ ਹੋਣਾ ਸਿਰਫ਼ ਉਹੀ ਸਾਬਤ ਕਰਦਾ ਹੈ ਜੋ ਉਸ ਬਿੰਦੂ ਨੇ ਦੇਖਿਆ। ਫਿਲਟਰਿੰਗ, ਰੂਟਿੰਗ, ਗਲਤ ਦੂਰ ਪਤਾ, ਬੰਦ ਸੇਵਾ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਅਸੰਗਤੀ—ਸਭ ਉਹੀ ਖਾਲੀ ਟਰੇਸ ਪੈਦਾ ਕਰਦੇ ਹਨ।

ਸੰਬੰਧਿਤ ICMP unreachable ਸਬੂਤ ਜੋੜਦਾ ਹੈ, ਪਰ ਅੰਦਰ ਦਿੱਤਾ ਹਵਾਲਾ ਪੈਕਟ ਪੜ੍ਹੋ ਅਤੇ ਭੇਜਣ ਵਾਲੇ ਯੰਤਰ ਦਾ ਪਤਾ ਨੋਟ ਕਰੋ।

ਰਾਊਟਰ ਦਾ ਇਨਕਾਰ ਧਿਰ ਵੱਲੋਂ ਵਾਪਸ ਕੀਤੀ ਪ੍ਰਮਾਣਿਤ ਗਲਤੀ ਤੋਂ ਵੱਖਰੀ ਘਟਨਾ ਹੈ, ਅਤੇ ਸੇਵਾ ਦੇ ਜੀਵਤ ਹੋਣ ਦਾ ਸਬੂਤ ਸਿਰਫ਼ ਦੂਜੀ ਹੀ ਦਿੰਦੀ ਹੈ। ਉਸੇ ਕੋਸ਼ਿਸ਼ ਨੂੰ ਸਰਵਰ ਲੌਗ ਜਾਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਨਿਰੀਖਣ ਨਾਲ ਜੋੜੋ ਤਾਂ ਜੋ ਪਤਾ ਲੱਗੇ ਕਿ ਬੇਨਤੀ ਆਈ ਅਤੇ ਜਵਾਬ ਗਿਆ ਜਾਂ ਨਹੀਂ। ਕੈਪਚਰ ਸੀਮਿਤ ਅਤੇ ਨਿੱਜੀ ਰੱਖੋ, ਕਿਉਂਕਿ ਪੜ੍ਹਨਯੋਗ ਹੈਂਡਸ਼ੇਕ ਖੇਤਰ ਬਾਕੀ ਫਾਈਲ ਨੂੰ ਨਿਰਦੋਸ਼ ਨਹੀਂ ਬਣਾਉਂਦੇ। ਕੀਮਤੀ ਨਤੀਜਾ ਇੱਕ ਮਿਲਾਈ ਬੇਨਤੀ ਅਤੇ ਜਵਾਬ, ਜਾਂ ਨਾਮਿਤ ਨਿਰੀਖਣ ਬਿੰਦੂ ਨਾਲ ਇੱਕ ਦਸਤਾਵੇਜ਼ੀ ਖਾਲੀ ਥਾਂ ਹੈ।