Како читати прву IKEv2 размену у снимку пакета

Снимци направљени усред сесије јесу уобичајен разлог зашто IKEv2 траг изгледа као шум, зато што стране већ обнављају кључеве или размењују шифроване терете када снимање почне. Почните уместо тога новим покушајем повезивања, тако да прва порука у датотеци буде она која отвара преговоре. Редослед читања испод то претпоставља и означава тачку у којој пакет престаје да доказује било шта о удаљеној страни. Прескакање тог корака је начин на који исправан тунел бива дијагностикован као блокиран порт.

Потврдите да гледате почетну размену

IKEv2 преговори почињу са IKE_SA_INIT, тип размене 34, ID поруке 0. Иницијатор бира SPI различит од нуле, а SPI одговарача је нула у том првом захтеву и различит од нуле у одговору. Те три чињенице раздвајају нови покушај од обнове кључева или од IKE_AUTH поруке која се случајно нашла на врху снимка.

Поља заглавља су читљива, као и терети предлога, размене кључева и nonce. Читљивост није аутентификација: ниједна страна није доказала идентитет у овом тренутку, а приватна вредност Diffie-Hellman-а никада се не појављује на жици.

Штампајте поља као табелу уместо да скролујете кроз панел за декодирање, јер поновна слања и неусклађени SPI постају очигледни у колонама.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Читајте излаз у паровима. Захтев са ID-јем поруке 0 за којим следи одговор са истим ID-јем и SPI-јем одговарача различитим од нуле јесте једна размена, чак и када се појави три пута јер је захтев поново послат. Три једнака захтева нису три пријаве, и управо такав третман води закључку да клијент кружи у петљи док је само стрпљив. Поређајте по ID-ју поруке, потом по временској ознаци, и цео разговор се скупља у кратак списак покушаја.

Прочитајте одбијање пре него успех

Одговор није аутоматски напредак. Одговарач може одговорити cookie обавештењем и очекивати да иницијатор покуша поново, или са INVALID_KE_PAYLOAD који именује групу коју би радије прихватио. Оба стижу као исправно обликоване IKE поруке, и оба изгледају као завршена размена филтеру који само броји пакете.

Отворите терет обавештења и прочитајте тип пре свега осталог. Cookie изазов значи да се одговарач брани од лажних изворних адреса и клијент мора поново послати са придодатим cookie-јем. Неисправна група значи да се два предлога не слажу, што ниједно понављање неће променити док се конфигурација једне стране не помери.

Само IKE_AUTH, друга размена, носи шифровани идентитет и терете аутентификације. Завршен IKE_SA_INIT вам зато каже да су стране сагласне о алгоритмима и изведеним кључевима, и баш ништа о томе да ли ће акредитиви бити прихваћени. Очекујте и тамо две поруке и очекујте да ће обе бити непрозирне без кључева сесије.

Порт 4500 није један протокол

UDP 500 обично носи почетну размену. Када се изврши откривање NAT-а, IKE прелази на 4500 и испред сваке поруке ставља четворобајтни нулти маркер који није ESP. Инкапсулирани ESP на истом порту почиње пак не-нултим ESP SPI-јем, а један бајт NAT keepalive је трећи облик који се појављује када се ништа друго не догађа.

Филтер који пореди само порт меша сва три, због чега "има саобраћаја на 4500" тако мало решава. Поделите приказ по протоколу пре него закључите било шта о удаљеној страни.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Тишина описује тачку посматрања

Захтеви без одговора доказују тачно једно: у тој тачки снимања није се појавио ниједан одговор. Филтрирање, рута која одговор шаље негде другде, недоступан одговарач или одговарач који не воли предлог сви дају исти празан резултат, а општа UDP провера их неће раздвојити.

ICMP недоступност је доказ друге врсте. Прочитајте цитирани пакет унутар њега и утврдите који га је уређај емитовао, јер администраторско одбијање рутера није аутентификована грешка удаљене стране.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Повежите исти покушај са записима на страни сервера тамо где вам је дозвољено да их читате. Да ли је захтев стигао, да ли је услуга одговорила и где се одговор зауставио? Та три одговора воде вас до проблема са путањом или до проблема са политиком, и коштају мање од четврте промене акредитива.