Како читати свежу IKE_SA_INIT размену у снимку

Почните од снимка која почиње пре првог пакета покушаја, иначе ћете читати средину разговора. Преговарање које већ траје показује шифриране размене и обнављања кључева, и ниједно не изгледа као отварање. Отварање је део који можете декодирати без кључева, и зато тако добро одговара на питања доступности. Четири провере по реду воде вас од свежег снимка до одрживе тврдње о томе која је страна престала да говори.

Прво, потврдите да снимак почиње од почетка

Снимак започет после подизања тунела садржаће инкапсулирани ток података и периодичне keepalive поруке, и обоје је или шифрирано или готово празно. Поново покрените клијент и снимите сам покушај или намерно изазовите нову везу док снимак траје. Ако не можете да створите свеж покушај, запишите то у белешке, јер никакво декодирање не враћа отварање које никада нисте снимили.

Ограничите снимак на две крајње тачке и на UDP 500 и 4500 да би датотека остала довољно мала за читање. На заузетом домаћину нефилтрирани снимак закопава преговарање под неповезаним саобраћајем.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Сачувајте датотеку када је покушај занимљив, јер исти снимак одговара на оба следећа питања: шта је била размена и да ли се нешто вратило. Означите га временом почетка и паром крајњих тачака на које сте филтрирали. Снимак без те две чињенице бескористан је недељу дана касније, када су се адресе промениле и нико се не сећа који је покушај снимљен.

Друго, прочитајте заглавље пре носивог терета

Заглавље IKE носи индексе безбедносних параметара, тип размене и ID поруке, и при новом преговарању те су вредности препознатљиве. Иницијатор измишља SPI различит од нуле, почетни захтев носи нулти SPI одговорне стране јер одговор још није виђен, тип размене је IKE_SA_INIT, а ID поруке је нула. Све остало припада каснијој фази истог преговарања или сасвим другом покушају.

Предлог, размена кључева и nonce терети у овој првој размени читљиви су у отвореном облику. Читљивост није аутентикација и у овом тренутку ниједна страна није доказала свој идентитет.

Приватна Diffie-Hellman вредност никада не прелази жицу, па вам снимак не дозвољава да изведете сесијске кључеве. Аутентикација се дешава у следећој размени, заштићена оним што је прва договорила. Ако неко пита да ли је страна стварна, ова размена не може да одговори на то питање. Може само да покаже да су се обе стране сагласиле о предлогу и створиле заједничку тајну коју датотека не садржи.

Треће, упарите захтев са његовим одговором

Упарите по пару SPI, типу размене и ID-у поруке, затим проверите заставицу одговора. Поновно слање понавља ID поруке оригинала и није други покушај пријаве. Бројање пакета уместо размена је пут којим се здраво преговарање претвара у фантомску петљу.

Одговор може бити и одбијање: захтев за колачићем, обавештење о неприхватљивој групи или грешка о предлогу. То су легитимни одговори и значе да пут ради док политика не ради. Декодирајте обавештење уместо да сваки одговор сматрате успехом. Када обавештење именује групу или предлог, поправка је на страни конфигурације, а не на заштитном зиду.

И смер је важан. Захтев без одговора и одговор који никада не стигне до клијента различите су грешке, и само друга изгледа као истек времена на страни клијента.

Четврто, одвојте IKE од свега осталог на 4500

Порт 4500 носи три ствари које у сажетом прегледу изгледају исто: IKE иза четворобајтног нултог non-ESP маркера, инкапсулирани ESP чија позиција маркера држи SPI различит од нуле, и кратки keepalive. Тај маркер одваја IKE од инкапсулираног ESP, зато прочитајте те бајтове пре него што саобраћај назовете IKE. Ознака снимка која чита 4500 је број порта, а не протокол.

Инкапсулирани ESP је шифрирани терет који не можете протумачити без кључева, и његово присуство може бити знак тунела који ради, а не грешке.

Посматрајте оба порта за исти покушај, јер IKE може да се пресели на 4500 после откривања NAT-а иако се отворио на 500. Траг филтриран само на 500 изгледа тихо управо када је преговарање успело и преместило се. Проширите филтер и поново прочитајте исти временски прозор пре него што из одсуства извучете било какав закључак.

Шта значи тишина на једној тачки посматрања

Недостатак одговора код клијента доказује само оно што је та тачка посматрала. Филтрирање, усмеравање, погрешна удаљена адреса, заустављена услуга и несагласност протокола дају исти празан траг.

Релевантна ICMP unreachable порука додаје доказ, али прочитајте цитирани пакет у њој и забележите адресу уређаја који ју је послао.

Одбијање усмеривача је други догађај од аутентификоване грешке коју враћа страна, и само друга доказује да је услуга жива. Повежите исти покушај са серверским дневницима или одобреним посматрањем да бисте сазнали да ли је захтев стигао и да ли је одговор отишао. Држите снимке ограничене и приватне, јер читљива поља руковања не чине остатак датотеке безопасним. Резултат који вреди је један упарен пар захтева и одговора, или једна документована празнина са именованом тачком посматрања.