Jinsi ya kusoma mabadilishano mapya ya IKE_SA_INIT kwenye rekodi

Anza na rekodi inayoanza kabla ya pakiti ya kwanza ya jaribio, vinginevyo utasoma katikati ya mazungumzo. Majadiliano yanayoendelea tayari yanaonyesha mabadilishano yaliyosimbwa na uhuishaji wa funguo, na hakuna kati yao linalofanana na ufunguzi. Ufunguzi ni sehemu unayoweza kuisimbua bila funguo, ndiyo sababu hujibu maswali ya ufikivu vizuri sana. Ukaguzi manne kwa mpangilio hukupeleka kutoka rekodi mpya hadi kauli inayoweza kutetewa kuhusu upande gani ulioacha kuzungumza.

Kwanza, thibitisha kwamba rekodi inaanza mwanzoni

Rekodi iliyoanza baada ya handaki kupanda itakuwa na mtiririko wa data uliofungwa na keepalive za mara kwa mara, na zote mbili zimesimbwa au karibu tupu. Anzisha upya mteja na urekodi jaribio lenyewe, au anzisha kwa makusudi muunganisho mpya wakati rekodi inaendelea. Ikiwa huwezi kutoa jaribio jipya, andika hivyo kwenye madokezo yako, kwa sababu usimbuaji wowote hauwezi kurudisha ufunguzi ambao hukuwahi kuurekodi.

Punguza rekodi kwa ncha mbili na kwa UDP 500 na 4500 ili faili libaki dogo vya kutosha kusoma. Kwenye mwenyeji mwenye shughuli nyingi, rekodi isiyo na kichujio huzika majadiliano chini ya trafiki isiyohusiana.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Hifadhi faili wakati jaribio linavutia, kwa sababu rekodi hiyo hiyo hujibu maswali mawili yafuatayo: mabadilishano yalikuwa nini, na kama kitu kilirudi. Ipa lebo ya muda wa kuanza na jozi ya ncha ulizochuja. Rekodi isiyo na mambo haya mawili haina maana wiki moja baadaye, wakati anwani zimebadilika na hakuna anayekumbuka jaribio gani lilirekodiwa.

Pili, soma kichwa kabla ya mizigo

Kichwa cha IKE hubeba faharasa za kigezo cha usalama, aina ya mabadilishano na kitambulisho cha ujumbe, na katika majadiliano mapya thamani hizi ni tofauti. Mwanzishaji hubuni SPI isiyo sifuri, ombi la awali hubeba SPI ya anayejibu ya sifuri kwa sababu jibu halijaonekana bado, aina ya mabadilishano ni IKE_SA_INIT, na kitambulisho cha ujumbe ni sifuri. Kitu kingine chochote ni cha hatua ya baadaye ya majadiliano hayo hayo au jaribio tofauti kabisa.

Mizigo ya pendekezo, mabadilishano ya funguo na nonce katika mabadilishano haya ya kwanza inasomwa wazi. Kusomeka si kuthibitishwa, na katika hatua hii hakuna upande uliothibitisha utambulisho wake.

Thamani ya faragha ya Diffie-Hellman haivuki waya kamwe, kwa hivyo rekodi haikuruhusu kupata funguo za kipindi. Uthibitishaji hufanyika katika mabadilishano yanayofuata, yakilindwa na yale ambayo ya kwanza yalikubaliana. Ikiwa mtu anauliza kama upande ni halisi, mabadilishano haya hayawezi kujibu swali hilo. Yanaweza tu kuonyesha kwamba pande zote zilikubaliana juu ya pendekezo na kutoa siri ya pamoja ambayo faili haina.

Tatu, linganisha ombi na jibu lake

Linganisha kwa jozi ya SPI, aina ya mabadilishano na kitambulisho cha ujumbe, kisha angalia bendera ya jibu. Utumaji upya hurudia kitambulisho cha ujumbe cha asili na si jaribio la pili la kuingia. Kuhesabu pakiti badala ya mabadilishano ndiyo njia ambayo majadiliano yenye afya hubadilika kuwa mzunguko wa kizuka.

Jibu linaweza pia kuwa kukataa: ombi la kuki, taarifa ya kundi lisilokubalika, au hitilafu kuhusu pendekezo. Haya ni majibu halali, na yanamaanisha njia inafanya kazi wakati sera haifanyi kazi. Simbua taarifa badala ya kuchukua kila jibu kama mafanikio. Taarifa inapotaja kundi au pendekezo, marekebisho yako upande wa usanidi na si kwenye ukuta wa moto.

Mwelekeo pia ni muhimu. Ombi lisilo na jibu na jibu ambalo halifiki kwa mteja kamwe ni hitilafu tofauti, na la pili tu linaonekana kama muda wa kusubiri upande wa mteja.

Nne, tenga IKE na kila kitu kingine kwenye 4500

Bandari 4500 hubeba vitu vitatu vinavyoonekana sawa katika muhtasari: IKE nyuma ya alama ya non-ESP sifuri ya baiti nne, ESP iliyofungwa ambayo nafasi ya alama yake ina SPI isiyo sifuri, na keepalive fupi. Alama hiyo ndiyo inayotenganisha IKE na ESP iliyofungwa, kwa hivyo soma baiti hizo kabla ya kuita trafiki IKE. Lebo ya rekodi inayosoma 4500 ni namba ya bandari, si itifaki.

ESP iliyofungwa ni mzigo uliosimbwa ambao hauwezi kuufasiri bila funguo, na uwepo wake unaweza kuwa ishara ya handaki linalofanya kazi badala ya hitilafu.

Fuatilia bandari zote mbili kwa jaribio moja, kwa sababu IKE inaweza kuhamia 4500 baada ya kugundua NAT ingawa ilifunguliwa kwenye 500. Ufuatiliaji uliochujwa kwenye 500 pekee huonekana kimya hasa wakati majadiliano yalifanikiwa na kuhamia. Panua kichujio na usome tena dirisha hilo la muda kabla ya kutoa hitimisho lolote kutokana na kutokuwepo.

Nini maana ya ukimya kwenye sehemu moja ya uchunguzi

Kutokuwa na jibu kwa mteja kunathibitisha tu kile ambacho sehemu hiyo ilichunguza. Uchujaji, upitishaji, anwani ya mbali isiyo sahihi, huduma iliyosimama na kutokubaliana kwa itifaki vyote hutoa ufuatiliaji huo tupu.

ICMP unreachable inayofaa huongeza ushahidi, lakini soma pakiti iliyonukuliwa ndani yake na uandike anwani ya kifaa kilichoituma.

Kukataliwa na kipanga njia ni tukio tofauti na hitilafu iliyothibitishwa inayorudishwa na upande, na ya pili tu inathibitisha kuwa huduma iko hai. Unganisha jaribio hilo hilo na kumbukumbu za seva au uchunguzi ulioidhinishwa ili kujua kama ombi lilifika na kama jibu lilitoka. Weka rekodi zikiwa na mipaka na za faragha, kwa sababu sehemu zinazosomwa za kupeana mkono hazifanyi faili lingine kuwa lisilo na madhara. Matokeo yenye thamani ni jozi moja iliyolinganishwa ya ombi na jibu, au pengo moja lililoandikwa lenye sehemu ya uchunguzi iliyotajwa.