Kako brati svežo izmenjavo IKE_SA_INIT v posnetku

Začnite s posnetkom, ki se začne pred prvim paketom poskusa, sicer boste brali sredino pogovora. Pogajanje, ki že poteka, kaže šifrirane izmenjave in obnavljanja ključev, in nobeno od tega ni videti kot začetek. Začetek je del, ki ga lahko dekodirate brez ključev, zato tako dobro odgovarja na vprašanja o dosegljivosti. Štiri preverjanja po vrsti vas popeljejo od svežega posnetka do zagovorljive trditve o tem, katera stran je prenehala govoriti.

Najprej potrdite, da se posnetek začne na začetku

Posnetek, začet po dvigu tunela, bo vseboval zapakiran podatkovni tok in občasne keepalive, oboje pa je bodisi šifrirano bodisi skoraj prazno. Znova zaženite odjemalca in posnemite sam poskus ali namerno sprožite novo povezavo med potekom posnetka. Če ne morete ustvariti svežega poskusa, to zapišite v svoje zapiske, saj nobeno dekodiranje ne vrne začetka, ki ga niste nikoli posneli.

Omejite posnetek na dve končni točki ter na UDP 500 in 4500, da bo datoteka ostala dovolj majhna za branje. Na zasedenem gostitelju nefiltriran posnetek zakoplje pogajanje pod nepovezanim prometom.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Datoteko shranite, ko je poskus zanimiv, saj isti posnetek odgovori na obe naslednji vprašanji: kaj je bila izmenjava in ali se je kaj vrnilo. Označite jo s časom začetka in parom končnih točk, po katerem ste filtrirali. Posnetek brez teh dveh dejstev je teden pozneje neuporaben, ko so se naslovi spremenili in se nihče ne spomni, kateri poskus je bil posnet.

Drugič, preberite glavo pred koristnim tovorom

Glava IKE nosi indekse varnostnih parametrov, vrsto izmenjave in ID sporočila, pri novem pogajanju pa so te vrednosti značilne. Pobudnik si izmisli neničelni SPI, začetna zahteva nosi ničelni SPI odgovarjajoče strani, ker odgovora še ni bilo videti, vrsta izmenjave je IKE_SA_INIT in ID sporočila je nič. Vse drugo pripada poznejši fazi istega pogajanja ali povsem drugemu poskusu.

Koristni tovor predloga, izmenjave ključev in nonce v tej prvi izmenjavi je berljiv v odprti obliki. Berljivost ni overitev in na tej točki nobena stran ni dokazala svoje identitete.

Zasebna vrednost Diffie-Hellman nikoli ne prečka žice, zato posnetek ne omogoča izpeljave sejnih ključev. Overjanje se zgodi v naslednji izmenjavi, zaščiteno s tem, o čemer se je prva dogovorila. Če kdo vpraša, ali je stran pristna, ta izmenjava ne more odgovoriti na to vprašanje. Lahko samo pokaže, da sta se obe strani strinjali s predlogom in ustvarili skupno skrivnost, ki je v datoteki ni.

Tretjič, povežite zahtevo z njenim odgovorom

Povežite po paru SPI, vrsti izmenjave in ID sporočila, nato preverite zastavico odgovora. Ponovna oddaja ponovi ID sporočila izvirnika in ni drug poskus prijave. Štetje paketov namesto izmenjav je pot, po kateri se zdravo pogajanje spremeni v fantomsko zanko.

Odgovor je lahko tudi zavrnitev: zahteva za piškotek, obvestilo o nesprejemljivi skupini ali napaka glede predloga. To so zakoniti odgovori in pomenijo, da pot deluje, politika pa ne. Dekodirajte obvestilo, namesto da bi vsak odgovor šteli za uspeh. Ko obvestilo navede skupino ali predlog, je popravek na strani konfiguracije in ne na požarnem zidu.

Tudi smer je pomembna. Zahteva brez odgovora in odgovor, ki nikoli ne doseže odjemalca, sta različni napaki in le druga je videti kot časovna omejitev na strani odjemalca.

Četrtič, ločite IKE od vsega drugega na 4500

Vrata 4500 nosijo tri stvari, ki so v povzetku videti enake: IKE za štiribajtnim ničelnim non-ESP markerjem, zapakiran ESP, katerega položaj markerja vsebuje neničelni SPI, in kratki keepalive. Prav marker ločuje IKE od zapakiranega ESP, zato preberite te bajte, preden promet poimenujete IKE. Oznaka posnetka, ki bere 4500, je številka vrat in ne protokol.

Zapakiran ESP je šifriran tovor, ki ga brez ključev ne morete razložiti, in njegova prisotnost je lahko znak delujočega tunela in ne napake.

Opazujte obe vrati za isti poskus, saj se IKE lahko po zaznavi NAT premakne na 4500, čeprav se je odprl na 500. Sled, filtrirana le na 500, je videti tiha ravno takrat, ko je pogajanje uspelo in se je premaknilo. Razširite filter in znova preberite isto časovno okno, preden iz odsotnosti potegnete kakršen koli sklep.

Kaj pomeni tišina na eni opazovalni točki

Odsotnost odgovora pri odjemalcu dokazuje le tisto, kar je ta točka opazovala. Filtriranje, usmerjanje, napačen oddaljeni naslov, ustavljena storitev in neujemanje protokola dajejo isto prazno sled.

Ustrezna ICMP unreachable doda dokaz, vendar preberite citirani paket v njej in zabeležite naslov naprave, ki jo je poslala.

Zavrnitev usmerjevalnika je drugačen dogodek kot overjena napaka, ki jo vrne stran, in le druga dokazuje, da storitev živi. Povežite isti poskus s strežniškimi dnevniki ali odobrenim opazovanjem, da ugotovite, ali je zahteva prispela in ali je odgovor odšel. Posnetke hranite omejene in zasebne, saj berljiva polja rokovanja ne naredijo preostanka datoteke neškodljivega. Rezultat, ki je vreden, je en povezan par zahteve in odgovora ali ena dokumentirana vrzel z imenovano opazovalno točko.