Sida loo akhriyo isweydaarsiga IKE_SA_INIT cusub ee duubista

Ka bilow duubis bilaabma ka hor baakadda koowaad ee isku dayga, haddii kale waxaad akhrin doontaa badhtamaha wada hadal. Gorgortan hore u socda wuxuu muujinayaa isweydaarsiyo sir ah iyo cusboonaysiin fure, labadaba lama eka bilowga. Bilowgu waa qaybta aad ku furi karto iyada oo aan fure lahayn, taas ayaa sabab u ah inuu si fiican uga jawaabo su'aalaha gaaritaanka. Afar hubin oo isku xigta ayaa kaa geynaya duubis cusub ilaa hadal la difaaci karo oo ku saabsan dhinacaa joojiyay hadalka.

Marka hore, xaqiiji in duubistu ka bilaabanto bilowga

Duubis la bilaabay ka dib markii tunnel-ka kor u kacay waxay yeelan doontaa qulqulka xogta la duubay iyo keepalive xilliyeed, labadaba waa sir ama ku dhow inay madhan yihiin. Dib u bilow macmiilka oo duub isku dayga laftiisa, ama si ula kac ah u kiciso xiriir cusub inta duubistu socoto. Haddii aadan awoodin inaad soo saarto isku day cusub, ku qor qoraalladaada, sababtoo ah wax furid ah ma soo celin karo bilow aadan waligaa duubin.

Ku xaddid duubista labada dhammaad iyo UDP 500 iyo 4500 si faylku ugu sii ahaado mid yar oo la akhrin karo. Martigeliyaha mashquulka ah, duubis aan shaandheyn lahayn waxay gorgortanka ku aasaa taraafikada aan la xiriirin.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Hayso faylka marka isku daygu xiiso leh yahay, sababtoo ah isla duubistaa waxay ka jawaabtaa labada su'aalood ee soo socda: waxa uu ahaa isweydaarsiga, iyo in wax soo noqdeen. Ku calaamadee waqtiga bilowga iyo lammaanaha dhammaadka ee aad shaandheysay. Duubis aan labadan xaqiiqo lahayn waa mid aan faa'iido lahayn toddobaad ka dib, marka cinwaannadu beddelmeen oo aan cidina xasuusan isku daygii la duubay.

Marka labaad, akhri madaxa ka hor culaysyada

Madaxa IKE waxa uu qaadaa tilmaamayaasha cabbirka amniga, nooca isweydaarsiga iyo aqoonsiga fariinta, gorgortan cusubna qiyamyadani waa kuwo gaar ah. Bilaabaha waxa uu hindisaa SPI aan eber ahayn, codsiga bilowga ah waxa uu qaadaa SPI jawaab-bixiye eber sababtoo ah wali jawaab lama arag, nooca isweydaarsigu waa IKE_SA_INIT, aqoonsiga fariintuna waa eber. Wax kasta oo kale waxay ka tirsan yihiin marxalad dambe oo isla gorgortankaas ah ama isku day gabi ahaan kale.

Culaysyada soo jeedinta, isweydaarsiga furaha iyo nonce ee isweydaarsigan koowaad waa la akhrin karaa si cad. La akhrin karo macneheedu maaha la xaqiijiyay, marxaladdan na dhinacna ma caddayn aqoonsigiisa.

Qiimaha gaarka ah ee Diffie-Hellman waligiis ma gudbo siliga, sidaas darteed duubistu kuma ogolaanayso inaad soo saarto furayaasha fadhiga. Xaqiijinta waxay dhacdaa isweydaarsiga xiga, oo lagu ilaaliyo waxa uu koowaadku ku heshiiyay. Haddii qof weydiiyo in dhinacu run yahay, isweydaarsigan ma jawaabi karo su'aashaas. Waxa uu kaliya muujin karaa in labada dhinacba ay ku heshiiyeen soo jeedin oo ay sameeyeen sir wadaag ah oo aan faylka ku jirin.

Marka saddexaad, isku dheji codsiga iyo jawaabtiisa

Isku dheji lammaanaha SPI, nooca isweydaarsiga iyo aqoonsiga fariinta, ka dib hubi calanka jawaabta. Dib u diriddu waxay ku celisaa aqoonsiga fariinta asalka ah oo maaha isku day gelid labaad. Baakadaha tirinta halkii isweydaarsiyo waa dariiqa gorgortan caafimaad qaba uu u noqdo wareeg khiyaali ah.

Jawaabtu waxay noqon kartaa diidmo: codsi cookie, ogeysiis koox aan la aqbali karin, ama khalad ku saabsan soo jeedin. Kuwani waa jawaabo sharci ah, waxayna ka dhigan yihiin in dariiqu shaqeeyo halka siyaasadu aanay shaqayn. Fur ogeysiiska halkii aad ka dhigi lahayd jawaab kasta guul. Marka ogeysiisku magacaabo koox ama soo jeedin, hagaajintu waxay ku taal dhinaca jaangooyada ee ma aha dab-demiska.

Jihadu sidoo kale waa muhiim. Codsiga aan jawaab lahayn iyo jawaabta aan waligeed gaarin macmiilka waa cillado kala duwan, oo kaliya tan labaad ayaa u eg waqti-dhaqaaq dhinaca macmiilka.

Marka afraad, ka sooc IKE wax kasta oo kale oo ku yaal 4500

Dekedda 4500 waxay qaadaa saddex shay oo isku mid u eg muuqaal kooban: IKE ka dambeeya calaamad non-ESP eber oo afar byte ah, ESP la duubay oo booska calaamaddiisu uu ku hayo SPI aan eber ahayn, iyo keepalive gaagaaban. Calaamaddaas ayaa kala soocda IKE iyo ESP la duubay, markaa akhri byteskaas ka hor inta aadan taraafikada ugu yeerin IKE. Summadda duubista ee akhrisanaysa 4500 waa lambarka dekedda, ma aha borotokool.

ESP la duubay waa culays sir ah oo aadan turjumi karin fure la'aan, joogitaankiisuna waxa uu calaamad u noqon karaa tunnel shaqaynaya ee ma aha cillad.

La soco labada dekedood isla isku dayga, sababtoo ah IKE waxa uu u guuri karaa 4500 ka dib ogaanshaha NAT inkasta oo uu 500 ku furmay. Raadka lagu shaandheeyay kaliya 500 waxa uu u muuqdaa aamusan si sax ah marka gorgortanku guuleystay oo uu guuray. Balaadhi shaandhada oo dib u akhri isla daaqadda waqtiga ka hor inta aadan wax gabagabo ah ka soo saarin maqnaanshaha.

Waxa aamussa ku macneheedu yahay hal bar oo indho-indheyn ah

Jawaab la'aan macmiilka waxay caddaynaysaa kaliya waxa barkaas uu arkay. Shaandheyn, marin, cinwaan fog oo khaldan, adeeg xiran iyo iswaafaqla'aan borotokool dhamaantood waxay soo saaraan isla raad madhan.

ICMP unreachable khuseeya waxay ku dartaa caddayn, laakiin akhri baakadda lagu sheegay gudaheeda oo qor cinwaanka qalabka soo diray.

Diidmada router-ku waa dhacdo ka duwan khalad la xaqiijiyay oo dhinacu soo celiyo, oo kaliya tan labaad ayaa caddaynaysa in adeeggu nool yahay. Isku xidh isla isku dayga diiwaannada serverka ama indho-indheyn la ansixiyay si aad u ogaato in codsigu yimid iyo in jawaabtu baxday. Hayso duubisyada xaddidan oo gaar ah, sababtoo ah beeraha gacan-qaadista ee la akhrin karo kama dhigaan faylka intiisa kale mid aan waxyeello lahayn. Natiijada qiimaha leh waa hal codsi iyo jawaab la isku dhejiyay, ama hal farqi la diiwaangeliyay oo leh bar indho-indheyn magac leh.