Si të lexoni një shkëmbim IKE_SA_INIT të ri në një regjistrim

Filloni me një regjistrim që nis përpara paketës së parë të përpjekjes, përndryshe do të lexoni mesin e një bisede. Një negociatë që tashmë po rrjedh tregon shkëmbime të kriptuara dhe rinovime çelësash, dhe asnjëra nuk duket si hapja. Hapja është pjesa që mund të dekodoni pa çelësa, dhe për këtë arsye u përgjigjet kaq mirë pyetjeve të arritshmërisë. Katër kontrolle sipas radhës ju çojnë nga një regjistrim i freskët në një pohim të mbrojtshëm për atë se cila anë ndaloi së foluri.

Së pari, konfirmoni që regjistrimi nis nga fillimi

Një regjistrim i nisur pasi tuneli u ngrit do të përmbajë rrjedhën e të dhënave të inkapsuluara dhe keepalive periodike, dhe të dyja janë ose të kriptuara ose pothuajse bosh. Rinisni klientin dhe regjistroni vetë përpjekjen, ose shkaktoni qëllimisht një lidhje të re ndërsa regjistrimi po ecën. Nëse nuk mund të prodhoni një përpjekje të freskët, shkruajeni në shënimet tuaja, sepse asnjë dekodim nuk rikuperon një hapje që nuk e keni regjistruar kurrë.

Kufizoni regjistrimin në dy pikat fundore dhe në UDP 500 dhe 4500, që skedari të mbetet mjaft i vogël për t'u lexuar. Në një host të zënë, një regjistrim pa filtër e varros negociatën nën trafik të palidhur.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Ruajeni skedarin kur përpjekja është interesante, sepse i njëjti regjistrim u përgjigjet të dyja pyetjeve vijuese: çfarë ishte shkëmbimi, dhe nëse u kthye diçka. Etiketojeni me orën e nisjes dhe me çiftin e pikave fundore mbi të cilin filtruat. Një regjistrim pa këto dy fakte është i pavlefshëm një javë më vonë, kur adresat kanë ndryshuar dhe askush nuk kujtohet se cilën përpjekje regjistroi.

Së dyti, lexoni kokën përpara ngarkesave

Koka IKE mbart indekset e parametrave të sigurisë, llojin e shkëmbimit dhe ID-në e mesazhit, dhe në një negociatë të re këto vlera janë dalluese. Iniciatori shpik një SPI jo zero, kërkesa fillestare mbart një SPI përgjigjësi zero sepse nuk është parë ende përgjigje, lloji i shkëmbimit është IKE_SA_INIT, dhe ID-ja e mesazhit është zero. Çdo gjë tjetër i përket një faze të mëvonshme të së njëjtës negociatë ose një përpjekjeje krejt tjetër.

Ngarkesat e propozimit, të shkëmbimit të çelësave dhe të nonce në këtë shkëmbim të parë lexohen haptas. Të lexohesh nuk do të thotë i vërtetuar, dhe në këtë pikë asnjëra anë nuk ka provuar identitetin e saj.

Vlera private Diffie-Hellman nuk e kalon kurrë telin, prandaj regjistrimi nuk ju lejon të nxirrni çelësa sesioni. Vërtetimi ndodh në shkëmbimin vijues, i mbrojtur nga ajo për të cilën u mor vesh i pari. Nëse dikush pyet nëse një anë është e vërtetë, ky shkëmbim nuk mund t'i përgjigjet asaj pyetjeje. Mund të tregojë vetëm se të dyja anët u morën vesh për një propozim dhe prodhuan një sekret të përbashkët që skedari nuk e përmban.

Së treti, përputhni kërkesën me përgjigjen e saj

Përputhni sipas çiftit SPI, llojit të shkëmbimit dhe ID-së së mesazhit, pastaj kontrolloni flamurin e përgjigjes. Ritransmetimi përsërit ID-në e mesazhit të origjinalit dhe nuk është një përpjekje e dytë hyrjeje. Numërimi i paketave në vend të shkëmbimeve është mënyra se si një negociatë e shëndoshë bëhet një lak fantazmë.

Përgjigja mund të jetë edhe refuzim: një kërkesë cookie, një njoftim për grup të papranueshëm ose një gabim për një propozim. Këto janë përgjigje legitime, dhe nënkuptojnë se rruga funksionon ndërsa politika nuk funksionon. Dekodoni njoftimin në vend që ta trajtoni çdo përgjigje si sukses. Kur njoftimi emërton një grup ose një propozim, rregullimi është në anën e konfigurimit dhe jo në murin e zjarrit.

Edhe drejtimi ka rëndësi. Një kërkesë pa përgjigje dhe një përgjigje që nuk arrin kurrë te klienti janë defekte të ndryshme, dhe vetëm e dyta duket si skadim kohe në anën e klientit.

Së katërti, ndani IKE nga çdo gjë tjetër në 4500

Porta 4500 mbart tri gjëra që në një pamje përmbledhëse duken njësoj: IKE pas një shënuesi non-ESP zero prej katër bajtesh, ESP i inkapsuluar pozicioni i shënuesit të të cilit mban një SPI jo zero, dhe keepalive të shkurtra. Ai shënues është ai që ndan IKE nga ESP i inkapsuluar, prandaj lexoni ato bajte përpara se ta quani trafikun IKE. Një etiketë regjistrimi që lexon 4500 është numër porte, jo protokoll.

ESP i inkapsuluar është ngarkesë e kriptuar që nuk mund ta interpretoni pa çelësa, dhe prania e tij mund të jetë shenjë e një tuneli që punon dhe jo e një defekti.

Vëzhgoni të dyja portat për të njëjtën përpjekje, sepse IKE mund të kalojë në 4500 pas zbulimit të NAT, ndonëse u hap në 500. Një gjurmë e filtruar vetëm në 500 duket e qetë pikërisht kur negociata pati sukses dhe u zhvendos. Zgjeroni filtrin dhe rilexoni të njëjtën dritare kohe përpara se të nxirrni ndonjë përfundim nga mungesa.

Çfarë do të thotë heshtja në një pikë vëzhgimi

Mungesa e përgjigjes te klienti provon vetëm atë që vëzhgoi ajo pikë. Filtrimi, rrugëtimi, adresa e largët e gabuar, një shërbim i ndalur dhe një mospërputhje protokolli prodhojnë të njëjtën gjurmë bosh.

Një ICMP unreachable përkatës shton provë, por lexoni paketën e cituar brenda tij dhe shënoni adresën e pajisjes që e dërgoi.

Refuzimi i një rrugëtuesi është një ngjarje tjetër nga një gabim i vërtetuar që kthen ana tjetër, dhe vetëm i dyti provon se shërbimi është i gjallë. Lidhni të njëjtën përpjekje me regjistrat e serverit ose me një vëzhgim të miratuar për të mësuar nëse kërkesa arriti dhe nëse një përgjigje doli. Mbani regjistrimet të kufizuara dhe private, sepse fushat e lexueshme të shtrëngimit të duarve nuk e bëjnë pjesën tjetër të skedarit të padëmshme. Rezultati që ia vlen është një çift i përputhur kërkese dhe përgjigjeje, ose një boshllëk i dokumentuar me një pikë vëzhgimi të emërtuar.