Kwa nini tcpdump huonyesha maandishi wazi ya IPsec katika mwelekeo mmoja tu

Unaendesha tcpdump kwenye kiolesura cha nje cha lango la IPsec la Linux na unaona mambo mawili kwa wakati mmoja: fremu za ESP zinazoingia na, mara moja baada yao, pakiti za ndani zilizofumbuliwa. Kuelekea nje, ESP pekee inaonekana. Hitimisho la kawaida ni kwamba majibu hayatumwa au kwamba IPsec husimba mwelekeo mmoja na kusahau mwingine. Hakuna hata moja iliyo kweli.

Unachokiangalia ni mahali pa kunasa. Kiini hubadilisha pakiti zinazotoka kabla njia ya usambazaji ya kifaa haijakabidhi kwa soketi ya pakiti, kwa hiyo soketi haioni umbo la ndani linapotoka. Zinazoingia hukamatwa kwanza kama ESP na nakala iliyofumbuliwa huonekana inapoingia tena kwenye staki. Trafiki ile ile, madirisha mawili tofauti ya uchunguzi.

Mahali pa kunasa huamua unachokiona

Kwenye kiolesura cha kawaida, soketi ya AF_PACKET hukaa karibu na tabaka la kifaa. Pakiti zinazoondoka kwenye mwenyeji hupitia kwanza usindikaji wa toka wa IPsec, ambao hubadilisha sehemu ya ndani ya TCP kuwa datagramu ya ESP au UDP-4500, na kisha tu kufika tabaka hilo. Pakiti zinazoingia hunakiliwa kwenye soketi zinapotoka kwenye waya, zikiwa bado zimesimbwa, na matokeo yaliyofumbuliwa huonekana baadaye staki inapowasilisha kwa ndani au kupeleka mbele.

Mpangilio huo unaeleza utengano kikamilifu. Si ushahidi kuhusu mwelekeo, sera au tabia ya programu, na kuuchukulia hivyo huwafanya watu wafukuze jibu ambalo lilitumwa kwa usahihi muda wote. Ni mojawapo ya vitendawili vichache vya mtandao ambapo chombo, si mtandao, huunda hali isiyo ya kawaida.

Linganisha kichujio na tabaka unalokusudia

Usemi kama tcp port 443 huchagua muunganisho wa ndani wa TCP. Kuelekea nje, muunganisho huo umekwisha kuwa ESP wakati soketi inaulizwa, kwa hiyo kichujio hakilingani na kitu. Ikiwa unataka kuhesabu trafiki iliyolindwa, chuja kwa umbo la nje badala yake: itifaki 50 kwa ESP mbichi, au bandari ya UDP 4500 wakati uvukaji wa NAT unatumika. Vichujio vyote viwili hutoa idadi ya pakiti inayoweza kulinganishwa kati ya pande mbili, ambayo kwa kawaida ndiyo sababu ya kuhesabu. Hakuna hata kimoja kinachosema ikiwa ombi la ndani lilijibiwa.

Usichukulie hesabu ya UDP 4500 kama hesabu ya pakiti za ESP. IKE pia hutumia bandari hiyo kwa ujumbe wa kuweka hai wa NAT-T na kwa mabadilishano yaliyofungwa, kwa hiyo namba hiyo inajumuisha trafiki isiyo data uliyokusudia kupima. Mabadilishano ya awali ya IKE kwenye UDP 500 yanahitaji kichujio chake ikiwa hilo ni swali. Namba inayochanganya trafiki ya udhibiti na data pia hufanya makadirio yoyote ya upana wa mkanda kuwa makosa kwa kiasi kisichojulikana. Hesabu tofauti hujibu maswali tofauti.

Andika kichujio kando ya swali linalolijibu. «Ni ESP ngapi ilitoka kwenye sanduku» na «ombi la wavuti lilitoka kwenye sanduku» ni vipimo tofauti na vichujio tofauti, na kunasa moja hakuwezi kuamua vyote viwili. Bila kumbukumbu hiyo, watu wawili watalinganisha namba ambazo hazikuwahi kuhesabu kitu kimoja.

Chunguza kabla ya mabadiliko, si baadaye

Ikiwa unahitaji kuona maandishi wazi yanayotoka, sogeza sehemu ya uchunguzi mapema, kabla ya usindikaji wa toka wa IPsec. NFLOG inakupa ndoano ya Netfilter ambapo kanuni inaweza kunakili pakiti zilizochaguliwa kwenye soketi ya nafasi ya mtumiaji, ambayo tcpdump inaweza kusoma. Mwongozo wa utoaji wa trafiki wa strongSwan unaandika mbinu hii kwa sababu hiyo hiyo.

Ulinganifu wa sera huweka kanuni kwa trafiki inayokaribia kuingia kwenye handaki. -m policy --pol ipsec --dir out ndiyo inayofanya kanuni kuwa mahususi badala ya kurekodi kila pakiti ambayo sanduku hutuma. Kisha soma kundi la kumbukumbu kwa kunasa kwa kikomo: idadi ndogo ya picha za papo hapo na kikomo cha ukubwa huzuia uchunguzi usiwe kumbukumbu ya trafiki. Kunasa kwa kikomo pia ni rahisi kukabidhi kwa mhakiki bila kuburuta mzigo usiohusika. Amua idadi kabla ya kuanza, si baada ya kuona ni ngapi zimewasili.

iptables -I OUTPUT 1 -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5
tcpdump -ni nflog:5 -s 128 -c 20 'host 10.83.0.44 and tcp port 8443'

Chagua ndoano inayolingana na mtiririko. OUTPUT inashughulikia trafiki ambayo lango lenyewe huzalisha; upitaji kutoka mteja wa LAN hupitia mnyororo wa FORWARD badala yake, na kanuni kwenye OUTPUT haitauona kamwe. Anwani na bandari zilizo juu ni sehemu za kushikilia kwa lengo la jaribio lililoidhinishwa.

Uchunguzi unathibitisha nini

NFLOG ni lengo la uwekaji kumbukumbu, si uamuzi wa kukubali. Pakiti inayoonekana hapo inaonyesha ilifika kwenye ndoano na ililingana na kanuni. Haionyeshi kwamba kichujio cha baadaye kiliiruhusu, kwamba kifaa kiliisambaza au kwamba upande mwingine ulipokea kitu.

Kumbukumbu tupu pia haina uhakika sawa. Angalia kihesabu cha pakiti cha kanuni, thibitisha mwelekeo, thibitisha kwamba mtiririko ulilingana kweli na sera ya IPsec, na thibitisha lengo. Ni kihesabu kinacholingana kwa pande zote mbili pekee kinachobadilisha uchunguzi kuwa hitimisho. Kisha linganisha vihesabu vya muungano wa usalama kwa pande zote mbili kwa jaribio lile lile lililodhibitiwa, kwa sababu vihesabu vya SA ni rekodi yenye mamlaka ya kile kilicholindwa na kutumwa.

Mtego mmoja zaidi: «maandishi wazi» katika muktadha huu maana yake ni nje ya tabaka la usimbaji wa IPsec. Kikao cha ndani cha HTTPS bado kina TLS yake. Kunasa pakiti iliyofumbuliwa hakufumbui TLS ya programu, na kuona HTTP inayosomeka hapo humaanisha kwamba programu haikuwa ikitumia HTTPS hata kidogo.

Safisha na linganisha ncha mbili

Ondoa kanuni halisi uliyoingiza, kwa mujibu wa mmiliki wake, mara tu uchunguzi unapokamilika. Kuacha kanuni ya uwekaji kumbukumbu mahali pake huigharimu CPU kwa kila pakiti inayolingana na kwa utulivu huunda tatizo la uhifadhi wa data. Futa kwa kurudia kanuni na -D badala ya kumwaga mnyororo ambao si wako.

iptables -D OUTPUT -d 10.83.0.44/32 -p tcp --dport 8443 -m policy --pol ipsec --dir out -j NFLOG --nflog-group 5

Ikiwa usambazaji unatumia IPsec wa nafasi ya mtumiaji, kiolesura cha XFRM au upakizaji wa maunzi, sehemu za uchunguzi husogea na mapishi haya yanaweza yasiwe yanatumika kabisa. Kwa libipsec, mahali palipoorodheshwa pa kuangalia trafiki ya ndani ni kifaa cha TUN. Tambua njia kwanza, kisha chagua sehemu inayojibu swali, na tarajia mwelekeo miwili kuonekana tofauti pale tu unapotazama upande usiofaa wa mabadiliko.