క్యాప్చర్లో కొత్త IKE_SA_INIT మార్పిడిని ఎలా చదవాలి

ప్రయత్నం మొదటి ప్యాకెట్కు ముందు ప్రారంభమయ్యే క్యాప్చర్తో ప్రారంభించండి, లేకపోతే మీరు సంభాషణ మధ్యలో చదువుతారు। ఇప్పటికే నడుస్తున్న చర్చ ఎన్క్రిప్ట్ చేసిన మార్పిడులు మరియు కీ పునరుద్ధరణలను చూపుతుంది, రెండూ ప్రారంభంలా కనిపించవు। ప్రారంభం అనేది కీలు లేకుండా డీకోడ్ చేయగల భాగం, అందుకే ఇది చేరుకోగలిగే ప్రశ్నలకు చాలా బాగా సమాధానం ఇస్తుంది। క్రమంగా నాలుగు తనిఖీలు మిమ్మల్ని తాజా క్యాప్చర్ నుండి ఏ వైపు మాట్లాడటం ఆపిందనే సమర్థనీయ ప్రకటనకు తీసుకెళ్తాయి।

మొదట, క్యాప్చర్ ప్రారంభం నుండే ప్రారంభమైందని నిర్ధారించండి

టన్నెల్ పైకి వచ్చిన తర్వాత ప్రారంభమైన క్యాప్చర్లో ఎన్క్యాప్సులేటెడ్ డేటా స్ట్రీమ్ మరియు కాలానుగుణ keepaliveలు ఉంటాయి, రెండూ ఎన్క్రిప్ట్ చేయబడ్డాయి లేదా దాదాపు ఖాళీగా ఉన్నాయి। క్లయింట్ను మళ్లీ ప్రారంభించి ప్రయత్నాన్ని స్వయంగా రికార్డ్ చేయండి, లేదా క్యాప్చర్ నడుస్తున్నప్పుడు ఉద్దేశపూర్వకంగా కొత్త కనెక్షన్ను రేకెత్తించండి। మీరు తాజా ప్రయత్నాన్ని సృష్టించలేకపోతే దానిని మీ నోట్స్లో రాయండి, ఎందుకంటే మీరు ఎప్పుడూ రికార్డ్ చేయని ప్రారంభాన్ని ఏ డీకోడింగ్ తిరిగి తీసుకురాదు।

క్యాప్చర్ను రెండు చివరి బిందువులకు మరియు UDP 500 మరియు 4500కు పరిమితం చేయండి, ఫైల్ చదవడానికి సరిపడా చిన్నదిగా ఉండాలి। రద్దీగా ఉన్న హోస్ట్లో ఫిల్టర్ లేని క్యాప్చర్ చర్చను సంబంధం లేని ట్రాఫిక్ కింద పాతిపెడుతుంది।

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

ప్రయత్నం ఆసక్తికరంగా ఉన్నప్పుడు ఫైల్ను ఉంచండి, ఎందుకంటే అదే క్యాప్చర్ తదుపరి రెండు ప్రశ్నలకు సమాధానం ఇస్తుంది: మార్పిడి ఏమిటి, మరియు ఏదైనా తిరిగి వచ్చిందా। దానిపై ప్రారంభ సమయం మరియు మీరు ఫిల్టర్ చేసిన చివరి బిందువుల జోడీని రాయండి। ఈ రెండు వాస్తవాలు లేని క్యాప్చర్ ఒక వారం తర్వాత నిరుపయోగం, చిరునామాలు మారి ఏ ప్రయత్నం రికార్డ్ అయిందో ఎవరికీ గుర్తు లేనప్పుడు।

రెండవది, పేలోడ్లకు ముందు హెడర్ను చదవండి

IKE హెడర్ భద్రతా పరామితి సూచికలు, మార్పిడి రకం మరియు సందేశ IDని కలిగి ఉంటుంది, కొత్త చర్చలో ఈ విలువలు ప్రత్యేకంగా ఉంటాయి। ప్రారంభకుడు సున్నా కాని SPIని సృష్టిస్తాడు, ప్రారంభ అభ్యర్థన ప్రతిస్పందించేవారి సున్నా SPIని కలిగి ఉంటుంది ఎందుకంటే ఇంకా ఎలాంటి ప్రతిస్పందన కనిపించలేదు, మార్పిడి రకం IKE_SA_INIT, మరియు సందేశ ID సున్నా। మిగతావన్నీ అదే చర్చ యొక్క తదుపరి దశ లేదా పూర్తిగా వేరే ప్రయత్నానికి చెందుతాయి।

ఈ మొదటి మార్పిడిలోని ప్రతిపాదన, కీ మార్పిడి మరియు nonce పేలోడ్లు బహిరంగంగా చదవగలిగేవి। చదవగలగడం ధృవీకరించబడిందని కాదు, ఈ దశలో ఏ పక్షం తన గుర్తింపును నిరూపించలేదు।

ప్రైవేట్ Diffie-Hellman విలువ ఎప్పుడూ తీగను దాటదు, కాబట్టి క్యాప్చర్ సెషన్ కీలను పొందడానికి మిమ్మల్ని అనుమతించదు। ప్రామాణీకరణ తదుపరి మార్పిడిలో జరుగుతుంది, ఇది మొదటిది అంగీకరించిన దానితో రక్షించబడుతుంది। ఒక పక్షం నిజమైనదా అని ఎవరైనా అడిగితే, ఈ మార్పిడి ఆ ప్రశ్నకు సమాధానం చెప్పలేదు। రెండు వైపులా ఒక ప్రతిపాదనపై ఏకీభవించి ఫైల్లో లేని భాగస్వామ్య రహస్యాన్ని సృష్టించాయని మాత్రమే చూపగలదు।

మూడవది, అభ్యర్థనను దాని ప్రతిస్పందనతో సరిపోల్చండి

SPI జోడీ, మార్పిడి రకం మరియు సందేశ IDపై సరిపోల్చి, తర్వాత ప్రతిస్పందన జెండాను తనిఖీ చేయండి। పునఃప్రసారం అసలు సందేశ IDని పునరావృతం చేస్తుంది మరియు ఇది రెండవ లాగిన్ ప్రయత్నం కాదు। మార్పిడులకు బదులుగా ప్యాకెట్లను లెక్కించడమే ఆరోగ్యకరమైన చర్చను భ్రమ లూప్గా మార్చే మార్గం।

ప్రతిస్పందన తిరస్కరణ కూడా కావచ్చు: కుకీ అభ్యర్థన, ఆమోదయోగ్యం కాని సమూహ నోటిఫికేషన్, లేదా ప్రతిపాదన గురించి లోపం। ఇవి చెల్లుబాటు అయ్యే ప్రతిస్పందనలు, మార్గం పనిచేస్తుంది కానీ విధానం పనిచేయదు అని అర్థం। ప్రతి ప్రతిస్పందనను విజయంగా భావించడం బదులు నోటిఫికేషన్ను డీకోడ్ చేయండి। నోటిఫికేషన్ సమూహం లేదా ప్రతిపాదనను పేర్కొన్నప్పుడు, సరిదిద్దడం ఫైర్వాల్లో కాదు, కాన్ఫిగరేషన్ వైపు ఉంటుంది।

దిశ కూడా ముఖ్యం। ప్రతిస్పందన లేని అభ్యర్థన మరియు క్లయింట్కు ఎప్పుడూ చేరని ప్రతిస్పందన వేర్వేరు లోపాలు, రెండవది మాత్రమే క్లయింట్ వైపు సమయ ముగింపులా కనిపిస్తుంది।

నాల్గవది, 4500లో IKEని మిగతా అన్నింటి నుండి వేరు చేయండి

4500 పోర్ట్ సారాంశ వీక్షణలో ఒకేలా కనిపించే మూడింటిని కలిగి ఉంటుంది: నాలుగు బైట్ల సున్నా non-ESP మార్కర్ వెనుక IKE, మార్కర్ స్థానంలో సున్నా కాని SPI ఉన్న ఎన్క్యాప్సులేటెడ్ ESP, మరియు చిన్న keepaliveలు। IKEని ఎన్క్యాప్సులేటెడ్ ESP నుండి వేరు చేసేది ఆ మార్కరే, కాబట్టి ట్రాఫిక్ను IKE అని పిలవడానికి ముందు ఆ బైట్లను చదవండి। 4500 అని చదివే క్యాప్చర్ లేబుల్ పోర్ట్ నంబర్, ప్రోటోకాల్ కాదు।

ఎన్క్యాప్సులేటెడ్ ESP కీలు లేకుండా అర్థం చేసుకోలేని ఎన్క్రిప్ట్ చేసిన పేలోడ్, దాని ఉనికి లోపం కాకుండా పనిచేస్తున్న టన్నెల్ సంకేతం కావచ్చు।

అదే ప్రయత్నం కోసం రెండు పోర్ట్లను గమనించండి, ఎందుకంటే IKE 500లో తెరిచినా NAT గుర్తింపు తర్వాత 4500కి మారవచ్చు। 500లో మాత్రమే ఫిల్టర్ చేసిన ట్రేస్ చర్చ విజయవంతమై స్థలం మారినప్పుడే నిశ్శబ్దంగా కనిపిస్తుంది। ఫిల్టర్ను విస్తరించి, లేకపోవడం నుండి ఏ ముగింపుకైనా రావడానికి ముందు అదే సమయ విండోను మళ్లీ చదవండి।

ఒక పరిశీలన బిందువు వద్ద మౌనం అర్థం

క్లయింట్ వద్ద ప్రతిస్పందన లేకపోవడం ఆ బిందువు చూసినదాన్ని మాత్రమే నిరూపిస్తుంది। ఫిల్టరింగ్, రూటింగ్, తప్పు దూర చిరునామా, ఆగిపోయిన సేవ మరియు ప్రోటోకాల్ అసమతౌల్యం అన్నీ అదే ఖాళీ ట్రేస్ను ఉత్పత్తి చేస్తాయి।

సంబంధిత ICMP unreachable సాక్ష్యాన్ని జోడిస్తుంది, కానీ దాని లోపల ఉదహరించిన ప్యాకెట్ను చదివి పంపిన పరికరం చిరునామాను గుర్తించండి।

రౌటర్ తిరస్కరణ అనేది పక్షం తిరిగి ఇచ్చే ధృవీకరించిన లోపం నుండి భిన్నమైన సంఘటన, సేవ బ్రతికి ఉందని రెండవది మాత్రమే నిరూపిస్తుంది। అదే ప్రయత్నాన్ని సర్వర్ లాగ్లు లేదా ఆమోదించిన పరిశీలనతో అనుసంధానించి అభ్యర్థన వచ్చిందా ప్రతిస్పందన బయలుదేరిందా తెలుసుకోండి। క్యాప్చర్లను పరిమితంగా మరియు ప్రైవేట్గా ఉంచండి, ఎందుకంటే చదవగలిగే హ్యాండ్షేక్ ఫీల్డ్లు మిగిలిన ఫైల్ను హానిచేయనివిగా చేయవు। విలువైన ఫలితం ఒక సరిపోల్చిన అభ్యర్థన మరియు ప్రతిస్పందన, లేదా పేరు పెట్టిన పరిశీలన బిందువుతో ఒక నమోదిత అంతరం।