பதிவில் புதிய IKE_SA_INIT பரிமாற்றத்தை எப்படிப் படிப்பது

முயற்சியின் முதல் பொதியலுக்கு முன் தொடங்கும் பதிவிலிருந்து தொடங்குங்கள், இல்லையெனில் நீங்கள் உரையாடலின் நடுப்பகுதியைப் படிப்பீர்கள்। ஏற்கனவே நடக்கும் பேச்சுவார்த்தை மறையாக்கப்பட்ட பரிமாற்றங்களையும் விசை புதுப்பித்தல்களையும் காட்டுகிறது, இரண்டும் தொடக்கத்தைப் போலத் தெரியவில்லை। தொடக்கம் என்பது விசைகள் இல்லாமல் புரிந்துகொள்ளக்கூடிய பகுதி, அதனால்தான் அணுகல் கேள்விகளுக்கு அது நன்றாகப் பதிலளிக்கிறது। வரிசையாக நான்கு சோதனைகள் உங்களைப் புதிய பதிவிலிருந்து எந்தப் பக்கம் பேசுவதை நிறுத்தியது என்பதற்கான பாதுகாக்கக்கூடிய கூற்றுக்கு அழைத்துச் செல்கின்றன।

முதலில், பதிவு தொடக்கத்திலிருந்தே தொடங்குகிறது என்பதை உறுதிப்படுத்துங்கள்

சுரங்கப்பாதை ஏறிய பிறகு தொடங்கிய பதிவில் மூடப்பட்ட தரவு ஓட்டமும் அவ்வப்போதைய keepaliveகளும் இருக்கும், இரண்டும் மறையாக்கப்பட்டவை அல்லது கிட்டத்தட்ட காலியானவை। வாடிக்கையாளரை மீண்டும் தொடங்கி முயற்சியையே பதிவு செய்யுங்கள், அல்லது பதிவு இயங்கும்போது வேண்டுமென்றே புதிய இணைப்பை உருவாக்குங்கள்। புதிய முயற்சியை உருவாக்க முடியாவிட்டால் அதை உங்கள் குறிப்புகளில் எழுதுங்கள், ஏனெனில் நீங்கள் ஒருபோதும் பதிவு செய்யாத தொடக்கத்தை எந்தப் புரிதலும் திரும்பக் கொண்டுவராது।

பதிவை இரு முனைகளுக்கும் UDP 500 மற்றும் 4500க்கும் வரம்பிடுங்கள், கோப்பு படிக்கக்கூடிய அளவு சிறியதாக இருக்கட்டும்। பரபரப்பான புரவலனில் வடிகட்டி இல்லாத பதிவு பேச்சுவார்த்தையை தொடர்பில்லாத போக்குவரத்தின் கீழ் புதைக்கிறது।

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

முயற்சி சுவாரஸ்யமாக இருக்கும்போது கோப்பை வைத்திருங்கள், ஏனெனில் அதே பதிவு அடுத்த இரு கேள்விகளுக்கும் பதிலளிக்கிறது: பரிமாற்றம் என்ன, ஏதேனும் திரும்பி வந்ததா। அதில் தொடக்க நேரத்தையும் நீங்கள் வடிகட்டிய முனை இணையையும் எழுதுங்கள்। இந்த இரு உண்மைகள் இல்லாத பதிவு ஒரு வாரம் கழித்து பயனற்றது, முகவரிகள் மாறி எந்த முயற்சி பதிவானது என்று யாருக்கும் நினைவில்லாதபோது।

இரண்டாவது, பேலோடுகளுக்கு முன் தலைப்பைப் படியுங்கள்

IKE தலைப்பு பாதுகாப்பு அளவுரு குறியீடுகள், பரிமாற்ற வகை மற்றும் செய்தி ID ஆகியவற்றைக் கொண்டுள்ளது, புதிய பேச்சுவார்த்தையில் இந்த மதிப்புகள் தனித்துவமானவை। தொடங்குபவர் பூஜ்ஜியமற்ற SPI உருவாக்குகிறார், ஆரம்பக் கோரிக்கை பதிலளிப்பவரின் பூஜ்ஜிய SPI ஐக் கொண்டுள்ளது ஏனெனில் இன்னும் எந்தப் பதிலும் காணப்படவில்லை, பரிமாற்ற வகை IKE_SA_INIT, செய்தி ID பூஜ்ஜியம்। மற்ற எல்லாம் அதே பேச்சுவார்த்தையின் பிற்கால கட்டம் அல்லது முற்றிலும் வேறு முயற்சிக்கு உரியது।

இந்த முதல் பரிமாற்றத்தில் உள்ள முன்மொழிவு, விசைப் பரிமாற்றம் மற்றும் nonce பேலோடுகள் வெளிப்படையாகப் படிக்கக்கூடியவை। படிக்கக்கூடியது என்பது அங்கீகரிக்கப்பட்டது என்று அர்த்தமல்ல, இந்த நிலையில் எந்தப் பக்கமும் தனது அடையாளத்தை நிரூபிக்கவில்லை।

தனிப்பட்ட Diffie-Hellman மதிப்பு ஒருபோதும் கம்பியைக் கடக்காது, எனவே பதிவு அமர்வு விசைகளைப் பெற உங்களை அனுமதிக்காது। அங்கீகாரம் அடுத்த பரிமாற்றத்தில் நடைபெறுகிறது, இது முதலில் ஒப்புக்கொண்டவற்றால் பாதுகாக்கப்படுகிறது। ஒரு பக்கம் உண்மையானதா என்று யாராவது கேட்டால், இந்தப் பரிமாற்றம் அந்தக் கேள்விக்குப் பதிலளிக்க முடியாது। இரு பக்கமும் ஒரு முன்மொழிவில் உடன்பட்டு கோப்பில் இல்லாத பகிரப்பட்ட ரகசியத்தை உருவாக்கியது என்பதை மட்டுமே காட்ட முடியும்।

மூன்றாவது, கோரிக்கையை அதன் பதிலுடன் பொருத்துங்கள்

SPI இணை, பரிமாற்ற வகை மற்றும் செய்தி ID ஆகியவற்றில் பொருத்தி, பின்னர் பதில் கொடியைச் சரிபார்க்கவும்। மறுசெலுத்தல் அசல் செய்தி ID ஐ மீண்டும் கூறுகிறது, இரண்டாவது உள்நுழைவு முயற்சி அல்ல। பரிமாற்றங்களுக்குப் பதிலாக பொதிகளை எண்ணுவதே ஆரோக்கியமான பேச்சுவார்த்தையை பேய் சுழற்சியாக மாற்றும் வழி।

பதில் மறுப்பாகவும் இருக்கலாம்: குக்கீ கோரிக்கை, ஏற்க முடியாத குழு அறிவிப்பு, அல்லது முன்மொழிவு குறித்த பிழை। இவை செல்லுபடியாகும் பதில்கள், பாதை இயங்குகிறது ஆனால் கொள்கை இயங்கவில்லை என்று பொருள்। ஒவ்வொரு பதிலையும் வெற்றியாகக் கருதுவதற்குப் பதிலாக அறிவிப்பைப் புரிந்துகொள்ளுங்கள்। அறிவிப்பு குழு அல்லது முன்மொழிவைக் குறிப்பிடும்போது, சரிசெய்தல் தீச்சுவரில் அல்ல, அமைவு பக்கத்தில் உள்ளது।

திசையும் முக்கியம்। பதிலில்லாத கோரிக்கையும் வாடிக்கையாளரை ஒருபோதும் அடையாத பதிலும் வெவ்வேறு குறைபாடுகள், இரண்டாவது மட்டுமே வாடிக்கையாளர் பக்க நேர முடிவு போலத் தெரிகிறது।

நான்காவது, 4500 இல் IKE ஐ மற்ற எல்லாவற்றிலிருந்தும் பிரிக்கவும்

4500 துறைமுகம் சுருக்கக் காட்சியில் ஒரே மாதிரி தெரியும் மூன்றைக் கொண்டுள்ளது: நான்கு பைட் பூஜ்ஜிய non-ESP குறியின் பின்னால் IKE, குறியின் இடத்தில் பூஜ்ஜியமற்ற SPI உள்ள மூடப்பட்ட ESP, மற்றும் குட்டையான keepaliveகள்। IKE ஐ மூடப்பட்ட ESP இலிருந்து பிரிப்பது அந்தக் குறியே, எனவே போக்குவரத்தை IKE என அழைப்பதற்கு முன் அந்தப் பைட்டுகளைப் படியுங்கள்। 4500 எனப் படிக்கும் பதிவு லேபிள் துறைமுக எண், நெறிமுறை அல்ல।

மூடப்பட்ட ESP என்பது விசைகள் இல்லாமல் விளக்க முடியாத மறையாக்கப்பட்ட பேலோடு, அதன் இருப்பு குறைபாட்டை விட இயங்கும் சுரங்கப்பாதையின் அறிகுறியாக இருக்கலாம்।

அதே முயற்சிக்காக இரு துறைமுகங்களையும் கவனியுங்கள், ஏனெனில் IKE 500 இல் திறந்தாலும் NAT கண்டறிந்த பிறகு 4500 க்கு நகரலாம்। 500 இல் மட்டும் வடிகட்டப்பட்ட தடம் பேச்சுவார்த்தை வெற்றிபெற்று இடம் மாறியபோது மட்டுமே அமைதியாகத் தெரிகிறது। வடிகட்டியை விரிவாக்கி, இல்லாமையிலிருந்து எந்த முடிவையும் எடுப்பதற்கு முன் அதே நேர சாளரத்தை மீண்டும் படியுங்கள்।

ஒரு கண்காணிப்புப் புள்ளியில் மௌனத்தின் பொருள்

வாடிக்கையாளரிடம் பதில் இல்லாதது அந்தப் புள்ளி கண்டதை மட்டுமே நிரூபிக்கிறது। வடிகட்டுதல், வழிப்படுத்தல், தவறான தொலை முகவரி, நிறுத்தப்பட்ட சேவை மற்றும் நெறிமுறை வேறுபாடு அனைத்தும் அதே காலி தடத்தை உருவாக்குகின்றன।

தொடர்புடைய ICMP unreachable சான்றைச் சேர்க்கிறது, ஆனால் அதற்குள் மேற்கோள் காட்டப்பட்ட பொதியைப் படித்து அனுப்பிய சாதனத்தின் முகவரியைக் குறிக்கவும்।

திசைவியின் மறுப்பு இன்னொரு பக்கம் திருப்பித் தரும் அங்கீகரிக்கப்பட்ட பிழையிலிருந்து வேறுபட்ட நிகழ்வு, சேவை உயிரோடு இருப்பதை இரண்டாவது மட்டுமே நிரூபிக்கிறது। அதே முயற்சியை சேவையகப் பதிவுகள் அல்லது அனுமதிக்கப்பட்ட கண்காணிப்புடன் இணைத்து, கோரிக்கை வந்ததா பதில் புறப்பட்டதா என்பதை அறியுங்கள்। பதிவுகளை வரம்புடனும் தனிப்பட்டதாகவும் வைத்திருங்கள், ஏனெனில் படிக்கக்கூடிய கைக்குலுக்கல் புலங்கள் மீதமுள்ள கோப்பைப் பாதிப்பில்லாததாக்காது। மதிப்புமிக்க முடிவு ஒரு பொருத்தப்பட்ட கோரிக்கையும் பதிலும், அல்லது பெயரிடப்பட்ட கண்காணிப்புப் புள்ளியுடன் ஒரு ஆவணப்படுத்தப்பட்ட இடைவெளி।