Sida loo akhriyo isweydaarsiga ugu horreeya ee IKEv2 ee duubista baakadaha

Duubista la sameeyo badhtamaha kulan ayaa ah sababta caadiga ah ee raadka IKEv2 uu ugu ekaado qaylo, sababtoo ah labada dhinac ayaa horey u cusboonaysiinaya furayaasha ama isweydaarsanaya xamuulka sir ah marka duubistu bilaabato. Taa beddelkeeda ka bilow isku day xiriir cusub, si fariinta ugu horreysa ee faylka ay noqoto tan furmaysa wada-hadalka. Habka akhriska ee hoose wuu qaadanayaa taas, wuxuuna calaamadeynayaa barta uu baakadku joojiyo caddaynta wax kasta oo ku saabsan dhinaca fog. In tallaabadan la boodo ayaa keenta in tunnel shaqeynaya loo aqoonsado deked xiran.

Xaqiiji inaad eegayso isweydaarsiga furitaanka

Wada-hadal IKEv2 wuxuu ku bilaabmaa IKE_SA_INIT, nooca isweydaarsiga 34, aqoonsiga fariinta 0. Bilaabaha wuxuu doortaa SPI aan eber ahayn, SPI-ga jawaab-bixiyuhuna waa eber codsigaas ugu horreeya wuxuuna noqonayaa mid aan eber ahayn jawaabta. Saddexdan xaqiiqo ayaa kala saara isku day cusub iyo cusboonaysiin furayaal ama fariin IKE_AUTH oo si kadis ah ugu taal duubista sare.

Goobaha cinwaanku waa la akhrin karaa, sidoo kale xamuulka soo-jeedinta, isweydaarsiga furayaasha iyo nonce. La akhrin karo macneheedu maaha la xaqiijiyay: midkoodna ma caddayn aqoonsigiisa wakhtigan, qiimaha gaarka ah ee Diffie-Hellman waligiis kama muuqdo xarigga.

Goobaha u daabac sida shax ahaan halkii aad ka dhex mushaax lahayd guddiga koodh furka, sababtoo ah dib-u-dirista iyo SPI-yada aan is waafaqsaneyn waxay u muuqdaan si cad tiirarka dhexdooda.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Wax soo saarka u akhri laba-laba. Codsiga leh aqoonsiga fariinta 0 oo ay raacdo jawaab sita isla aqoonsigaas iyo SPI jawaab-bixiye aan eber ahayn waa hal isweydaarsi, xitaa marka uu saddex jeer soo muuqdo sababtoo ah codsiga dib ayaa loo diray. Saddex codsi oo isku mid ah ma aha saddex gelitaan, oo sidaas u qaadashaduna waa sababta dadku u gunaanadaan in macmiilku wareeg ku jiro isagoo kaliya samir leh. U kala habee aqoonsiga fariinta, ka dibna shaambada waqtiga, oo dhammaan wada-hadalku wuxuu noqonayaa liis gaaban oo isku dayo ah.

Akhri diidmada ka hor intaadan akhrin guusha

Jawaab si toos ah horumar maaha. Jawaab-bixiyuhu wuxuu ku jawaabi karaa ogeysiis cookie wuxuuna filanayaa in bilaabahu mar kale isku dayo, ama INVALID_KE_PAYLOAD oo magacaabaya koox uu ka doorbidayo inuu aqbalo. Labaduba waxay yimaadaan sida fariimaha IKE ee si fiican loo sameeyay, labaduna waxay uga muuqdaan shaandheynta kaliya tirsan baakadaha sida isweydaarsi dhammaaday.

Fur xamuulka ogeysiiska oo akhri nooca ka hor wax kasta. Caqabadda cookie waxay ka dhigan tahay in jawaab-bixiyuhu iska difaacayo cinwaannada isha ee been abuurka ah, macmiilkuna waa inuu dib u diraa isagoo cookie ku lifaaqan. Koox aan ansax ahayn waxay ka dhigan tahay in labada soo-jeedin aanay is waafaqsaneyn, taas oo aan wax isku day dib ah beddeli doonin ilaa hal dhinac oo habayntiisu dhaqaaqdo.

Kaliya IKE_AUTH, isweydaarsiga labaad, ayaa qaada aqoonsiga siran iyo xamuulka xaqiijinta. Sidaas darteed IKE_SA_INIT dhammaaday wuxuu kuu sheegayaa in dhinacyadu ay ku heshiiyeen algorithms iyo furayaasha laga soo saaray, waxna kama sheegayaan haddii aqoonsiga la aqbali doono. Sidoo kale laba fariin ka filo halkaas, oo filo in labaduba mugdi noqon doonaan iyadoo aan la hayn furayaasha kulan.

Dekedda 4500 ma aha hal borotokool

UDP 500 ayaa inta badan qaada isweydaarsiga furitaanka. Marka NAT ogaanshaha la socdo, IKE wuxuu u guuraa 4500 oo wuxuu ka hor dhigaa fariin kasta calaamadda eber ee afar byte oo aan ESP ahayn. ESP duuban oo isla dekedda ah wuxuu ka bilaabmaa SPI ESP aan eber ahayn, oo NAT keepalive hal byte ah waa qaab saddexaad oo soo muuqda marka wax kale aysan dhicin.

Shaandheyn kaliya dekedda ku habboon ayaa saddexda isku qorta, taas ayaa keenta in "4500 waxaa jira socod" wax yar go'aansado. Kala qaybi aragtida borotokool ahaan ka hor intaadan wax ka gunaanadin dhinaca fog.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Aamusnaantu waxay qeexdaa barta indha-indheynta

Codsiyada aan jawaab lahayn waxay caddeeyaan hal shay oo sax ah: bartaas duubista ma muuqan jawaab. Shaandheyn, waddo jawaabta meel kale u dira, jawaab-bixiye aan la gaari karin, ama jawaab-bixiye aan soo-jeedinta jeclayn dhammaantood waxay soo saaraan natiijo madhan isku mid ah, oo baaritaan UDP caadi ah kama sooci doono.

ICMP aan la gaari karin waa caddayn nooc kale ah. Akhri baakadda lagu xigtay gudaheeda oo aqoonsada qalabka soo saaray, sababtoo ah diidmada maamulka ee router maaha khalad la xaqiijiyay oo ka yimid dhinaca fog.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Isku xir isla isku daygaas diiwaannada dhinaca server-ka halka loo ogol yahay inaad akhrido. Codsigu ma yimid, adeeggu ma jawaabay, oo jawaabtu xaggee ku istaagtay? Saddexdaas jawaab waxay kuu diraan dhibaatada waddo ama dhibaatada siyaasad, oo waxay ka yaryihiin kharashka beddelka afaraad ee aqoonsiga.