Jinsi ya kusoma mabadilishano ya kwanza ya IKEv2 katika kunasa pakiti

Unasaji unaofanywa katikati ya kipindi ndicho kisababishi cha kawaida cha athari ya IKEv2 kuonekana kama kelele, kwa sababu pande mbili tayari zinabadilisha funguo au zinabadilishana mizigo iliyosimbwa wakati kurekodi kunapoanza. Anza badala yake kwa jaribio jipya la muunganisho, ili ujumbe wa kwanza katika faili uwe ndio unaofungua majadiliano. Mpangilio wa kusoma hapa chini unadhani hivyo, na unaonyesha mahali ambapo pakiti inaacha kuthibitisha kitu chochote kuhusu upande wa mbali. Kuruka hatua hiyo ndiko kunakofanya handaki linalofanya kazi itambuliwe kama bandari iliyozuiwa.

Thibitisha kwamba unaangalia mabadilishano ya ufunguzi

Majadiliano ya IKEv2 huanza na IKE_SA_INIT, aina ya mabadilishano 34, kitambulisho cha ujumbe 0. Mwanzilishi huchagua SPI isiyo sufuri, na SPI ya mjibu ni sufuri katika ombi hilo la kwanza na si sufuri katika jibu. Mambo hayo matatu hutenganisha jaribio jipya na uboreshaji wa funguo au na ujumbe wa IKE_AUTH ambao kwa bahati upo juu ya unasaji.

Sehemu za kichwa zinasomeka, na vivyo hivyo mizigo ya pendekezo, ubadilishanaji wa funguo na nonce. Kusomeka si kuthibitishwa: hakuna upande uliothibitisha utambulisho wakati huu, na thamani ya faragha ya Diffie-Hellman haionekani kamwe kwenye waya.

Chapisha sehemu kama jedwali badala ya kusogeza kwenye paneli ya kusimbua, kwa sababu utumaji upya na SPI zisizolingana huonekana wazi katika safu.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Soma matokeo kwa jozi. Ombi lenye kitambulisho cha ujumbe 0 likifuatiwa na jibu linalobeba kitambulisho hicho na SPI ya mjibu isiyo sufuri ni mabadilishano moja, hata linapotokea mara tatu kwa sababu ombi lilitumwa upya. Maombi matatu yanayofanana si kuingia mara tatu, na kuyachukulia hivyo ndiko kunakofanya watu kuhitimisha kuwa mteja anazunguka wakati kwa kweli ana subira tu. Panga kwa kitambulisho cha ujumbe, kisha kwa muhuri wa muda, na mazungumzo yote yatakuwa orodha fupi ya majaribio.

Soma kukataliwa kabla ya kusoma mafanikio

Jibu si maendeleo ya moja kwa moja. Mjibu anaweza kujibu kwa taarifa ya cookie na kutarajia mwanzilishi ajaribu tena, au kwa INVALID_KE_PAYLOAD inayotaja kundi ambalo angekubali badala yake. Yote mawili hufika kama jumbe za IKE zilizoundwa vizuri, na yote mawili yanaonekana kama mabadilishano yaliyokamilika kwa kichujio kinachohesabu pakiti tu.

Fungua mzigo wa taarifa na usome aina kabla ya kitu kingine chochote. Changamoto ya cookie inamaanisha mjibu anajilinda dhidi ya anwani za chanzo zilizoghushiwa, na mteja lazima atume tena akiambatanisha cookie. Kundi batili linamaanisha mapendekezo mawili hayakubaliani, jambo ambalo hakuna idadi ya majaribio itakayobadilisha hadi usanidi wa upande mmoja usogee.

Ni IKE_AUTH pekee, mabadilishano ya pili, yanayobeba utambulisho uliosimbwa na mizigo ya uthibitishaji. Kwa hivyo IKE_SA_INIT iliyokamilika inakuambia pande zote zinakubaliana kuhusu algoriti na funguo zinazotokana, na hakuna kitu kabisa kuhusu kama vitambulisho vitakubaliwa. Tarajia pia jumbe mbili hapo, na tarajia zote mbili ziwe zisizo wazi bila funguo za kipindi.

Bandari 4500 si itifaki moja

UDP 500 kwa kawaida hubeba mabadilishano ya ufunguzi. Baada ya utambuzi wa NAT kuendeshwa, IKE huhamia 4500 na huweka alama ya sufuri ya baiti nne isiyo ESP mbele ya kila ujumbe. ESP iliyofungwa kwenye bandari hiyo huanza badala yake na SPI ya ESP isiyo sufuri, na NAT keepalive ya baiti moja ni umbo la tatu linaloonekana wakati hakuna kitu kingine kinachotokea.

Kichujio kinacholingana na bandari pekee huchanganya vyote vitatu, ndiyo sababu "kuna trafiki kwenye 4500" huamua kidogo sana. Tenganisha mwonekano kwa itifaki kabla ya kuhitimisha chochote kuhusu upande wa mbali.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Ukimya hueleza eneo la uchunguzi

Maombi yasiyo na majibu huthibitisha jambo moja hasa: katika eneo hilo la unasaji hakuna jibu lililoonekana. Uchujaji, njia inayotuma jibu mahali pengine, mjibu asiyefikiwa, au mjibu asiyependa pendekezo yote hutoa matokeo tupu yale yale, na uchunguzi wa kawaida wa UDP hautawatenganisha.

ICMP isiyofikika ni ushahidi wa aina nyingine. Soma pakiti iliyonukuliwa ndani yake na ubaini ni kifaa kipi kilikituma, kwa sababu kukataliwa kwa kiutawala na kipanga njia si hitilafu iliyothibitishwa kutoka upande wa mbali.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

Oanisha jaribio hilo hilo na kumbukumbu za upande wa seva pale unaporuhusiwa kuzisoma. Ombi lilifika, huduma ilijibu, na jibu lilisimama wapi? Majibu hayo matatu yanakupeleka kwenye tatizo la njia au tatizo la sera, na yanagharimu kidogo kuliko kubadilisha vitambulisho kwa mara ya nne.