Si të lexohet shkëmbimi i parë IKEv2 në një kapje paketash

Kapjet e bëra në mes të një sesioni janë arsyeja e zakonshme që një gjurmë IKEv2 duket si zhurmë, sepse palët tashmë po ripërtërijnë çelësat ose po shkëmbejnë ngarkesa të kriptuara kur fillon regjistrimi. Nis përndryshe me një përpjekje të re lidhjeje, që mesazhi i parë në skedar të jetë ai që hap negociatat. Rendi i leximit më poshtë e supozon këtë dhe shënon pikën ku një paketë nuk provon më asgjë për skajin e largët. Kalimi përtej atij hapi është mënyra se si një tunel që punon diagnostikohet si portë e bllokuar.

Konfirmo që po shikon shkëmbimin hapës

Një negociatë IKEv2 nis me IKE_SA_INIT, tipi i shkëmbimit 34, ID mesazhi 0. Nisësi zgjedh një SPI jo zero, dhe SPI i përgjigjësit është zero në atë kërkesë të parë dhe jo zero në përgjigje. Këto tre fakte ndajnë një përpjekje të re nga një ripërtëritje çelësash ose nga një mesazh IKE_AUTH që ndodhet rastësisht në krye të një kapjeje.

Fushat e kokës janë të lexueshme, dhe po ashtu ngarkesat e propozimit, shkëmbimit të çelësave dhe nonce. E lexueshme nuk do të thotë e vërtetuar: asnjë palë nuk ka provuar identitetin në këtë pikë, dhe vlera private e Diffie-Hellman nuk shfaqet kurrë në tel.

Shtyp fushat si tabelë në vend që të lëvizësh nëpër një panel dekodimi, sepse ritransmetimet dhe SPI-të që nuk përputhen bëhen të dukshme në kolona.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Lexo daljen në çifte. Një kërkesë me ID mesazhi 0 e ndjekur nga një përgjigje që mban të njëjtin ID dhe një SPI përgjigjësi jo zero është një shkëmbim i vetëm, edhe kur shfaqet tri herë sepse kërkesa u ritransmetua. Tri kërkesa identike nuk janë tri hyrje, dhe trajtimi i tyre kështu është mënyra se si njerëzit përfundojnë se një klient po rrotullohet në lak ndërsa ai është thjesht i durueshëm. Rendit sipas ID-së së mesazhit, pastaj sipas vulës kohore, dhe i gjithë biseda zvogëlohet në një listë të shkurtër përpjekjesh.

Lexo një refuzim përpara se të lexosh një sukses

Një përgjigje nuk është automatikisht përparim. Përgjigjësi mund të përgjigjet me një njoftim cookie dhe të presë që nisësi të provojë përsëri, ose me INVALID_KE_PAYLOAD duke emërtuar një grup që do ta pranonte në vend të tij. Të dyja vijnë si mesazhe IKE të formuara mirë, dhe të dyja duken si shkëmbim i përfunduar për një filtër që numëron vetëm paketa.

Hap ngarkesën e njoftimit dhe lexo tipin para çdo gjëje tjetër. Një sfidë cookie do të thotë që përgjigjësi po mbrohet nga adresa burimore të falsifikuara, dhe klienti duhet të ridërgojë me cookie-n të bashkangjitur. Një grup i pavlefshëm do të thotë që dy propozimet nuk pajtohen, gjë që asnjë sasi përpjekjesh nuk e ndryshon derisa të lëvizë konfigurimi i njërës palë.

Vetëm IKE_AUTH, shkëmbimi i dytë, mbart identitetin e kriptuar dhe ngarkesat e vërtetimit. Prandaj një IKE_SA_INIT i përfunduar të thotë që palët pajtohen për algoritmet dhe çelësat e nxjerrë, dhe absolutisht asgjë për atë nëse kredencialet do të pranohen. Prit edhe atje dy mesazhe, dhe prit që të dyja të jenë të patejdukshme pa çelësat e sesionit.

Porta 4500 nuk është një protokoll i vetëm

UDP 500 zakonisht mbart shkëmbimin hapës. Pasi kryhet zbulimi i NAT, IKE kalon në 4500 dhe vë përpara çdo mesazhi një shënues zero prej katër bajtësh që nuk është ESP. ESP i inkapsuluar në të njëjtën portë nis përkundrazi me një SPI ESP jo zero, dhe një keepalive NAT prej një bajti është forma e tretë që shfaqet kur nuk ndodh asgjë tjetër.

Një filtër që përputhet vetëm me portën i përzien të treja, dhe për këtë arsye "ka trafik në 4500" zgjidh kaq pak. Ndaj pamjen sipas protokollit përpara se të përfundosh diçka për skajin e largët.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Heshtja përshkruan pikën e vëzhgimit

Kërkesat pa përgjigje vërtetojnë saktësisht një gjë: në atë pikë kapjeje nuk u shfaq asnjë përgjigje. Filtrimi, një rrugë që e dërgon përgjigjen diku tjetër, një përgjigjës i paarritshëm ose një përgjigjës që nuk e pëlqen propozimin, të gjithë japin të njëjtin rezultat bosh, dhe një provë UDP e përgjithshme nuk do t'i ndajë.

Një ICMP i paarritshëm është provë e një lloji tjetër. Lexo paketën e cituar brenda tij dhe identifiko cila pajisje e lëshoi, sepse refuzimi administrativ i një ruteri nuk është gabim i vërtetuar nga skaji i largët.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Korrelo të njëjtën përpjekje me regjistrat në anën e serverit atje ku të lejohet t'i lexosh. A mbërriti kërkesa, a u përgjigj shërbimi, dhe ku u ndal përgjigja? Këto tri përgjigje të dërgojnë te një problem rruge ose te një problem politike, dhe kushtojnë më pak se rrotullimi i katërt i kredencialeve.