په یوه ثبت کې نوی IKE_SA_INIT تبادله څنګه ولولئ

له هغه ثبت څخه پیل وکړئ چې د هڅې له لومړي پیکټ مخکې پیل شوی وي، که نه نو تاسو د خبرو منځ ولولئ. هغه خبرې چې له مخکې روانې دي کریپټ شوې تبادلې او د کیلي نوی کول ښیي، او هیڅ یو یې د پیل په څیر نه ښکاري. پیل هغه برخه ده چې پرته له کیلي څخه کیدای شي ډیکوډ شي، او له همدې امله د لاسرسي پوښتنو ته دومره ښه ځواب وایي. په ترتیب سره څلور کتنې تاسو له تازه ثبت څخه تر دې وړاندې بیان ته رسوي چې کومه خوا د خبرو کول بند کړل.

لومړی، تایید کړئ چې ثبت له پیل څخه پیل کیږي

هغه ثبت چې د تونل له پورته کیدو وروسته پیل شوی وي انکپسول شوی د معلوماتو جریان او دوره ای keepalive به ولري، او دواړه یا کریپټ دي یا نږدې خالي. کلاینټ بیا پیل کړئ او هڅه پخپله ثبت کړئ، یا د ثبت د چلیدو پر مهال په قصد سره نوی اړیکه رامنځته کړئ. که تازه هڅه نه شئ جوړولی، په خپلو یادښتونو کې یې ولیکئ، ځکه چې هیڅ ډیکوډ کول هغه پیل نه شي بیا راوستلی چې تاسو هیڅکله نه دی ثبت کړی.

ثبت دوه پای نقطو او UDP 500 او 4500 ته محدود کړئ تر څو فایل د لوستلو وړ کوچنی پاتې شي. په بوخت کوربه کې بې فلټره ثبت خبرې د بې اړیکې ټرافیک لاندې ښخوي.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

کله چې هڅه په زړه پورې وي فایل وساتئ، ځکه هماغه ثبت دوه راتلونکو پوښتنو ته ځواب وایي: تبادله څه وه، او ایا څه بیرته راغلل. پر هغې د پیل وخت او هغه د پای نقطو جوړه ولیکئ چې تاسو پرې فلټر کړی و. پرته له دې دوو حقایقو ثبت یوه اونۍ وروسته بې ګټې دی، کله چې پتې بدلې شوې وي او هیڅوک نه یادوي چې کومه هڅه ثبت شوې وه.

دوهم، د پیلوډونو مخکې سرلیک ولولئ

د IKE سرلیک د امنیت د پارامترونو شاخصونه، د تبادلې ډول او د پیغام ID لري، او په نوې خبره کې دا ارزښتونه ځانګړي دي. پیل کوونکی غیر صفر SPI جوړوي، لومړنی غوښتنلیک د ځواب ورکوونکي صفر SPI لري ځکه چې تر دې دمه هیڅ ځواب نه دی لیدل شوی، د تبادلې ډول IKE_SA_INIT دی، او د پیغام ID صفر دی. پاتې نور هر څه د هماغې خبرې وروستي پړاو یا بشپړ بلې هڅې پورې اړه لري.

په دې لومړنۍ تبادله کې وړاندیز، د کیلي تبادله او nonce پیلوډونه په خلاص ډول لوستل کیږي. لوستل کیدل تصدیق شوي کیدل نه دي، او په دې نقطه کې هیڅ خوا خپل هویت نه دی ثابت کړی.

شخصي Diffie-Hellman ارزښت هیڅکله تار نه تیریږي، نو ثبت تاسو ته د غونډې کیلي د وتلو اجازه نه درکوي. تصدیق په راتلونکې تبادله کې کیږي, کوم چې د لومړي خوا لخوا د هوکړې شوو شیانو له مخې خوندي دی. که څوک وپوښتي چې ایا خوا اصلي ده، دا تبادله دې پوښتنې ته ځواب نه شي ویلای. یوازې دا ښیي چې دواړو خواوو پر یوه وړاندیز هوکړه وکړه او یو ګډ راز یې جوړ کړ چې په فایل کې نه دی.

دریم، غوښتنلیک د هغې ځواب سره سم کړئ

د SPI جوړې، د تبادلې ډول او د پیغام ID له مخې سم کړئ، بیا د ځواب بیرغ وګورئ. بیا لیږل د اصلي پیغام ID تکراروي او دوهم د ننوتلو هڅه نه ده. د تبادلو پر ځای پیکټ شمیرل هغه لاره ده چې روغه خبرې په پټه لوپ بدلوي.

ځواب کیدای شي رد هم وي: د کوکي غوښتنه، د نه منلو وړ ډلې خبرتیا، یا د وړاندیز په اړه تېروتنه. دا قانوني ځوابونه دي، او مانا یې دا ده چې لاره کار کوي خو پالیسي نه. هر ځواب د بریا په توګه منلو پر ځای خبرتیا ډیکوډ کړئ. کله چې خبرتیا ډله یا وړاندیز نوموي، سمون د فایرول پر ځای د تنظیماتو په خوا کې دی.

لوری هم مهم دی. بې ځوابه غوښتنه او هغه ځواب چې هیڅکله کلاینټ ته نه رسیږي بیلابیلې خرابۍ دي، او یوازې دوهم د کلاینټ خوا وخت تیریدو په څیر ښکاري.

څلورم، په 4500 کې IKE له نورو ټولو څخه جلا کړئ

پورټ 4500 درې شیان لري چې په لنډیز کې یو شان ښکاري: د څلور بایټ صفر non-ESP نښې شاته IKE، انکپسول شوی ESP چې د نښې په ځای کې غیر صفر SPI لري، او لنډ keepaliveونه. هماغه نښه IKE له انکپسول شوي ESP څخه جلا کوي، نو د ټرافیک IKE نومولو مخکې هغه بایټونه ولولئ. هغه د ثبت نښه چې 4500 لولي د پورټ شمیره ده، پروتوکول نه ده.

انکپسول شوی ESP کریپټ شوی پیلوډ دی چې پرته له کیلي نه شي تشریح کیدای، او شتون یې ممکن د کار کوونکي تونل نښه وي نه د خرابۍ.

د هماغې هڅې لپاره دواړه پورټونه وګورئ، ځکه IKE ممکن د NAT له کشف وروسته 4500 ته لاړ شي که څه هم پر 500 خلاص شوی و. یوازې پر 500 فلټر شوی نښه په سمه توګه هغه وخت غلی ښکاري چې خبرې بریالۍ شوې او ځای بدل کړی. فلټر پراخ کړئ او له نشتوالی څخه د کومې پایلې مخکې هماغه وخت کړکۍ بیا ولولئ.

په یوه کتنې نقطه کې د غلښت مانا

کلاینټ کې د ځواب نه شتون یوازې هغه څه ثابتوي چې هغې نقطې لیدلي. فلټرول، لارښوونه، غلط لیرې پته، بند خدمت او د پروتوکول ناسمونې ټول هماغه تش نښه جوړوي.

اړونده ICMP unreachable ثبوت زیاتوي، خو په داخل کې نقل شوی پیکټ ولولئ او د هغه وسیلې پته ولیکئ چې لیږلی یې دی.

د روټر رد له هغه تصدیق شوي تېروتنې څخه بیلې پیښې دي چې خوا یې بیرته ورکوي، او یوازې دوهمه ثابتوي چې خدمت ژوندی دی. هماغه هڅه د سرور لاګونو یا تصویب شوې کتنې سره وتړئ تر څو پوه شئ چې غوښتنه راغله او ځواب ووت. ثبتونه محدود او شخصي وساتئ، ځکه لوستل کیدونکي د لاس ورکولو ساحې پاتې فایل بې زیانه نه کوي. ارزښتناکه پایله یوه سمه شوې غوښتنه او ځواب ده، یا یوه مستنده تشه چې نومول شوې کتنې نقطه ولري.