කැප්චරයක නව IKE_SA_INIT හුවමාරුව ප්‍රායෝගිකව කියවන ආකාරය

සටනේ පළමු පැකට්ටුවට පෙර ආරම්භ වන කැප්චරයකින් පටන් ගන්න, එසේ නොමැති නම් ඔබ සංවාදයේ මැද කියවනු ඇත. දැනටමත් ක්‍රියාත්මක වන සාකච්ඡාවක් සංකේතනය කළ හුවමාරු සහ යතුරු අලුත් කිරීම් පෙන්වයි, ඒ දෙකම ආරම්භයට සමාන නොවේ. ආරම්භය යනු යතුරු නොමැතිව විකේතනය කළ හැකි කොටසයි, එබැවින් එය ළඟාවීමේ ප්‍රශ්නවලට මෙතරම් හොඳින් පිළිතුරු දෙයි. පිළිවෙලින් කරන ලද පරීක්ෂණ හතරක් ඔබව නැවුම් කැප්චරයක සිට කුමන පැත්ත කතා කිරීම නැවැත්වූවාද යන ආරක්ෂණීය ප්‍රකාශයකට ගෙන යයි.

පළමුව, කැප්චරය ආරම්භයේ සිට ආරම්භ වන බව තහවුරු කරන්න

උමං මාර්ගය ඉහළ ගිය පසු ආරම්භ කළ කැප්චරයක ලියැවුණු දත්ත ධාරාව සහ කාලික keepalive අඩංගු වේ, දෙකම සංකේතනය කර ඇති අතර හෝ පාහේ හිස් ය. සේවාලාභියා නැවත ආරම්භ කර උත්සාහයම පටිගත කරන්න, නැතහොත් කැප්චරය ක්‍රියාත්මක වන අතරතුර හිතාමතා නව සම්බන්ධතාවක් ඇති කරන්න. නැවුම් උත්සාහයක් නිපදවිය නොහැකි නම් එය ඔබේ සටහන්වල ලියන්න, මන්ද ඔබ කිසිදා පටිගත නොකළ ආරම්භයක් කිසිදු විකේතනයක් නැවත ගෙන එන්නේ නැත.

කැප්චරය අන්ත දෙකට සහ UDP 500 සහ 4500 ට සීමා කරන්න, එවිට ගොනුව කියවීමට තරම් කුඩා වේ. කාර්යබහුල සත්කාරකයක පෙරහන් නොමැති කැප්චරයක් සාකච්ඡාව අදාළ නොවන රථවාහන යටතේ වළලයි.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

උත්සාහය සිත්ගන්නා සුළු වූ විට ගොනුව තබා ගන්න, මන්ද එම කැප්චරයම ඊළඟ ප්‍රශ්න දෙකට පිළිතුරු දෙයි: හුවමාරුව කුමක්ද, සහ යමක් ආපසු ආවේද. එය මත ආරම්භක වේලාව සහ ඔබ පෙරහන් කළ අන්ත යුගලය ලියන්න. මෙම කරුණු දෙක නොමැති කැප්චරයක් සතියකට පසු නිෂ්ඵල ය, ලිපින වෙනස් වී කුමන උත්සාහය පටිගත වූයේදැයි කිසිවෙකුට මතක නැති විට.

දෙවනුව, පැටවුම්වලට පෙර ශීර්ෂය කියවන්න

IKE ශීර්ෂය ආරක්ෂක පරාමිති දර්ශක, හුවමාරු වර්ගය සහ පණිවිඩ ID දරයි, නව සාකච්ඡාවක මෙම අගයන් වෙනස් ය. ආරම්භකයා ශුන්‍ය නොවන SPI නිර්මාණය කරයි, ආරම්භක ඉල්ලීම ප්‍රතිචාරකයාගේ ශුන්‍ය SPI දරයි මන්ද තවම පිළිතුරක් නොදුටු බැවිනි, හුවමාරු වර්ගය IKE_SA_INIT වන අතර පණිවිඩ ID ශුන්‍ය වේ. අනෙක් සියල්ල එම සාකච්ඡාවේ පසු අදියරකට හෝ සම්පූර්ණයෙන්ම වෙනත් උත්සාහයකට අයත් ය.

මෙම පළමු හුවමාරුවේ යෝජනා, යතුරු හුවමාරු සහ nonce පැටවුම් විවෘතව කියවිය හැක. කියවිය හැකි වීම සත්‍යාපනය වීම නොවේ, මෙම අවස්ථාවේ කිසිදු පාර්ශ්වයක් තම අනන්‍යතාවය ඔප්පු කර නැත.

පෞද්ගලික Diffie-Hellman අගය කිසිදා රැහැන හරහා නොයයි, එබැවින් කැප්චරය ඔබට සැසි යතුරු ව්‍යුත්පන්න කිරීමට ඉඩ නොදේ. සත්‍යාපනය සිදුවන්නේ ඊළඟ හුවමාරුවේ ය, එය පළමුවැන්නා එකඟ වූ දෙයින් ආරක්ෂා වේ. කිසිවෙකු පාර්ශ්වයක් සැබෑදැයි ඇසුවොත් මෙම හුවමාරුවට එම ප්‍රශ්නයට පිළිතුරු දිය නොහැක. එයට පෙන්විය හැක්කේ දෙපැත්තම යෝජනාවකට එකඟ වී ගොනුවේ නොමැති පොදු රහසක් නිර්මාණය කළ බව පමණි.

තෙවනුව, ඉල්ලීම එහි පිළිතුර සමඟ ගළපන්න

SPI යුගලය, හුවමාරු වර්ගය සහ පණිවිඩ ID මත ගළපා, පසුව පිළිතුරු ධජය පරීක්ෂා කරන්න. නැවත සම්ප්‍රේෂණය මුල් පණිවිඩ ID පුනරාවර්තනය කරන අතර එය දෙවන පිවිසුම් උත්සාහයක් නොවේ. හුවමාරු වෙනුවට පැකට් ගණන් කිරීම සෞඛ්‍ය සම්පන්න සාකච්ඡාවක් අවතාර ලූපයක් බවට පත්වන මාර්ගයයි.

පිළිතුර ප්‍රතික්ෂේපයක් ද විය හැක: කුකී ඉල්ලීමක්, පිළිගත නොහැකි කණ්ඩායම් දැනුම්දීමක්, හෝ යෝජනාවක් ගැන දෝෂයක්. මේවා නීත්‍යනුකූල පිළිතුරු වන අතර, මාර්ගය ක්‍රියාත්මක වන නමුත් ප්‍රතිපත්තිය ක්‍රියාත්මක නොවන බව අදහස් කරයි. සෑම පිළිතුරක්ම සාර්ථකත්වයක් ලෙස සැලකීම වෙනුවට දැනුම්දීම විකේතනය කරන්න. දැනුම්දීම කණ්ඩායමක් හෝ යෝජනාවක් නම් කරන විට, අලුත්වැඩියාව ගිනිපවුරේ නොව වින්‍යාසයේ පැත්තේ ය.

දිශාව ද වැදගත් ය. පිළිතුරක් නොමැති ඉල්ලීමක් සහ සේවාලාභියා වෙත කිසිදා නොපැමිණෙන පිළිතුරක් වෙනස් දෝෂ වන අතර, සේවාලාභී පැත්තේ කාලාවසානයක් ලෙස පෙනෙන්නේ දෙවැන්න පමණි.

හතරවනුව, 4500 හි IKE අනෙක් සියල්ලෙන් වෙන් කරන්න

4500 වරාය සාරාංශ දර්ශනයේ සමාන ලෙස පෙනෙන දේ තුනක් දරයි: බයිට් හතරක ශුන්‍ය non-ESP සලකුණට පිටුපස IKE, සලකුණෙහි ස්ථානයේ ශුන්‍ය නොවන SPI ඇති ලියැවුණු ESP, සහ කෙටි keepalive. IKE සහ ලියැවුණු ESP වෙන් කරන්නේ එම සලකුණයි, එබැවින් රථවාහනය IKE ලෙස නම් කිරීමට පෙර එම බයිට් කියවන්න. 4500 කියවන කැප්චර් ලේබලයක් යනු වරාය අංකයක් මිස ප්‍රොටෝකෝලයක් නොවේ.

ලියැවුණු ESP යනු යතුරු නොමැතිව අර්ථ නිරූපණය කළ නොහැකි සංකේතනය කළ පැටවුමකි, එහි පැවැත්ම දෝෂයක් නොව ක්‍රියාත්මක වන උමං මාර්ගයක සලකුණක් විය හැක.

එකම උත්සාහය සඳහා වරාය දෙකම නරඹන්න, මන්ද IKE 500 හි විවෘත වුවද NAT හඳුනා ගැනීමෙන් පසු 4500 ට මාරු විය හැක. 500 මත පමණක් පෙරහන් කළ සලකුණ නිහඬ ලෙස පෙනෙන්නේ සාකච්ඡාව සාර්ථක වී ස්ථානය මාරු වූ විට ය. පෙරහන පුළුල් කර නොපැමිණීමෙන් කිසියම් නිගමනයකට එළඹීමට පෙර එම කාල කවුළුව නැවත කියවන්න.

එක් නිරීක්ෂණ ලක්ෂ්‍යයක නිහඬතාවයේ අර්ථය

සේවාලාභියා ළඟ පිළිතුරක් නොමැති වීම එම ලක්ෂ්‍යය දුටු දේ පමණක් ඔප්පු කරයි. පෙරහන් කිරීම, මාර්ගගත කිරීම, වැරදි දුරස්ථ ලිපිනය, නතර වූ සේවාවක් සහ ප්‍රොටෝකෝල නොගැළපීම සියල්ලම එකම හිස් සලකුණ නිපදවයි.

අදාළ ICMP unreachable සාක්ෂියක් එකතු කරයි, නමුත් එහි ඇතුළත උපුටා දැක්වූ පැකට්ටුව කියවා එය යැවූ උපාංගයේ ලිපිනය සටහන් කරන්න.

රවුටරයක ප්‍රතික්ෂේපය පාර්ශ්වය විසින් ආපසු දෙන සත්‍යාපිත දෝෂයකට වඩා වෙනස් සිදුවීමකි, සේවාව ජීවත්ව සිටින බව ඔප්පු කරන්නේ දෙවැන්න පමණි. එම උත්සාහය සර්වර් ලොග හෝ අනුමත නිරීක්ෂණයක් සමඟ සම්බන්ධ කර ඉල්ලීම පැමිණියේද පිළිතුරක් පිටවූයේද යන්න දැනගන්න. කැප්චර සීමිත හා පෞද්ගලිකව තබා ගන්න, මන්ද කියවිය හැකි අත්සන් කිරීමේ ක්ෂේත්‍ර ගොනුවේ ඉතිරිය හානිකර නොවන බව නොකරයි. වටිනා ප්‍රතිඵලය වන්නේ ගළපන ලද ඉල්ලීමක් සහ පිළිතුරක්, නැතහොත් නම් කළ නිරීක්ෂණ ලක්ෂ්‍යයක් සහිත ලේඛනගත හිඩැසකි.