Kako brati prvo izmenjavo IKEv2 v zajemu paketov

Zajemi, narejeni sredi seje, so običajen razlog, da je sled IKEv2 videti kot šum, ker strani že obnavljata ključe ali izmenjujeta šifrirane tovore, ko se snemanje začne. Začnite namesto tega z novim poskusom povezave, da bo prvo sporočilo v datoteki tisto, ki odpre pogajanja. Spodnji vrstni red branja to predpostavlja in označuje točko, v kateri paket preneha dokazovati karkoli o oddaljeni strani. Prav preskok tega koraka je vzrok, da je delujoč tunel diagnosticiran kot blokirana vrata.

Potrdite, da gledate uvodno izmenjavo

Pogajanja IKEv2 se začnejo s IKE_SA_INIT, tip izmenjave 34, ID sporočila 0. Pobudnik izbere SPI, ki ni nič, ID odgovarjalca pa je v tej prvi zahtevi nič in v odgovoru ni nič. Ta tri dejstva ločijo svež poskus od obnove ključev ali od sporočila IKE_AUTH, ki se slučajno znajde na vrhu zajema.

Polja glave so berljiva, prav tako tovori predloga, izmenjave ključev in nonce. Berljivost ni overitev: nobena stran v tem trenutku ni dokazala identitete, zasebna vrednost Diffie-Hellmana pa se nikoli ne pojavi na povezavi.

Polja izpišite kot tabelo, namesto da bi se pomikali po podoknu za dekodiranje, ker ponovni prenosi in neujemajoči se SPI postanejo očitni v stolpcih.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Izhod berite v parih. Zahteva z ID-jem sporočila 0, ki ji sledi odgovor z istim ID-jem in neničelnim SPI odgovarjalca, je ena izmenjava, tudi ko se pojavi trikrat, ker je bila zahteva poslana znova. Tri enake zahteve niso tri prijave, in prav takšno obravnavanje vodi do sklepa, da se odjemalec vrti v zanki, medtem ko je le potrpežljiv. Razvrstite po ID-ju sporočila in nato po časovnem žigu, in cel pogovor se skrči v kratek seznam poskusov.

Preberite zavrnitev, preden preberete uspeh

Odgovor ni samodejno napredek. Odgovarjalec lahko odgovori z obvestilom cookie in pričakuje, da bo pobudnik poskusil znova, ali s INVALID_KE_PAYLOAD, ki navede skupino, ki bi jo raje sprejel. Oba prideta kot pravilno oblikovana sporočila IKE, in oba sta za filter, ki samo šteje pakete, videti kot končana izmenjava.

Odprite tovor obvestila in najprej preberite tip. Izziv cookie pomeni, da se odgovarjalec brani pred ponarejenimi naslovi vira, in odjemalec mora poslati znova s priloženim cookie. Neveljavna skupina pomeni, da se predloga ne ujemata, česar nobeno ponavljanje ne spremeni, dokler se konfiguracija ene strani ne premakne.

Samo IKE_AUTH, druga izmenjava, nosi šifrirano identiteto in tovore overjanja. Zato dokončan IKE_SA_INIT pove, da so strani soglasne o algoritmih in izpeljanih ključih, in prav nič o tem, ali bodo poverilnice sprejete. Tudi tam pričakujte dve sporočili in pričakujte, da bosta oba brez sejnih ključev nepregledna.

Vrata 4500 niso en sam protokol

Uvodno izmenjavo običajno prenaša UDP 500. Ko se izvede zaznavanje NAT, IKE prestopi na 4500 in pred vsako sporočilo postavi štiribajtno ničelno oznako, ki ni ESP. Zapakirani ESP na istih vratih se začne nasprotno z neničelnim SPI ESP, enobajtni NAT keepalive pa je tretja oblika, ki se pojavi, ko se ne dogaja nič drugega.

Filter, ki se ujema samo z vrati, zmeša vse tri, zato "na 4500 je promet" razreši tako malo. Razdelite pogled po protokolu, preden o oddaljeni strani karkoli sklepate.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Tišina opisuje točko opazovanja

Zahteve brez odgovorov določijo natanko eno stvar: na tisti točki zajema se ni pojavil noben odgovor. Filtriranje, pot, ki pošlje odgovor drugam, nedosegljiv odgovarjalec ali odgovarjalec, ki mu predlog ni všeč, vsi dajo enak prazen izid, in splošna preiskava UDP jih ne bo ločila.

Nedosegljivost ICMP je dokaz druge vrste. Preberite citirani paket v njem in ugotovite, katera naprava ga je oddala, ker upravna zavrnitev usmerjevalnika ni overjena napaka oddaljene strani.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Povežite isti poskus s strežniškimi dnevniki tam, kjer jih smete brati. Je zahteva prispela, je storitev odgovorila in kje se je odgovor ustavil? Ti trije odgovori vas usmerijo k težavi s potjo ali k težavi s politiko, in stanejo manj kot četrta zamenjava poverilnic.