Paano basahin ang bagong palitan ng IKE_SA_INIT sa isang tangkapan

Magsimula sa tangkapan na nagsisimula bago ang unang pakete ng pagtatangka, kung hindi ay babasahin mo ang gitna ng usapan. Ang negosasyong tumatakbo na ay nagpapakita ng naka-encrypt na palitan at pagpapabago ng susi, at wala sa dalawa ang mukhang pagbubukas. Ang pagbubukas ang bahaging maaari mong i-decode nang walang susi, kaya napakahusay nitong sumagot sa mga tanong ng abot. Apat na pagsusuri sa pagkakasunod-sunod ang magdadala sa iyo mula sa bagong tangkapan tungo sa isang mapagtatanggol na pahayag kung aling panig ang tumigil sa pagsasalita.

Una, tiyakin na ang tangkapan ay nagsisimula sa simula

Ang tangkapan na sinimulan pagkatapos umangat ang tunnel ay maglalaman ng nakabalot na daloy ng datos at pana-panahong keepalive, at pareho ay naka-encrypt o halos walang laman. I-restart ang kliyente at i-record ang mismong pagtatangka, o sadyang magpasimula ng bagong koneksyon habang tumatakbo ang tangkapan. Kung hindi ka makagawa ng bagong pagtatangka, isulat iyon sa iyong mga tala, dahil walang decoding ang makapagbabalik ng pagbubukas na hindi mo kailanman naitala.

Limitahan ang tangkapan sa dalawang dulo at sa UDP 500 at 4500 upang manatiling sapat na maliit ang file para basahin. Sa abalang host, inililibing ng tangkapan na walang filter ang negosasyon sa ilalim ng walang kaugnayang trapiko.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Itago ang file kapag kawili-wili ang pagtatangka, dahil ang parehong tangkapan ang sumasagot sa dalawang susunod na tanong: ano ang palitan, at kung may bumalik. Lagyan ito ng label na may oras ng pagsisimula at ang pares ng dulo na iyong sinlak. Ang tangkapan na walang dalawang katotohanang iyon ay walang silbi makalipas ang isang linggo, kapag nagbago na ang mga address at wala nang makakaalala kung aling pagtatangka ang naitala.

Ikalawa, basahin ang header bago ang mga payload

Ang header ng IKE ay nagdadala ng mga index ng parameter ng seguridad, uri ng palitan at ID ng mensahe, at sa bagong negosasyon ang mga halagang ito ay katangi-tangi. Ang nagpasimula ay gumagawa ng SPI na hindi sero, ang paunang kahilingan ay nagdadala ng sero na SPI ng tumutugon dahil wala pang sagot na nakita, ang uri ng palitan ay IKE_SA_INIT, at ang ID ng mensahe ay sero. Anumang iba pa ay kabilang sa huling yugto ng parehong negosasyon o sa lubos na ibang pagtatangka.

Ang mga payload ng panukala, palitan ng susi at nonce sa unang palitang ito ay nababasa nang hayagan. Ang nababasa ay hindi nangangahulugang napatunayan, at sa puntong ito wala pang panig ang nagpatunay ng pagkakakilanlan nito.

Ang pribadong halaga ng Diffie-Hellman ay hindi kailanman tumatawid sa kawad, kaya hindi ka pinapayagan ng tangkapan na makakuha ng mga susi ng sesyon. Nagaganap ang pagpapatunay sa susunod na palitan, na protektado ng napagkasunduan ng una. Kung may magtanong kung tunay ang isang panig, hindi masasagot ng palitang ito ang tanong na iyon. Maaari lamang nitong ipakita na nagkasundo ang dalawang panig sa isang panukala at gumawa ng pinagsasaluhang lihim na wala sa file.

Ikatlo, itugma ang kahilingan sa sagot nito

Itugma sa pares ng SPI, uri ng palitan at ID ng mensahe, pagkatapos suriin ang flag ng sagot. Ang muling pagpapadala ay inuulit ang ID ng mensahe ng orihinal at hindi ito ikalawang pagtatangka sa pag-log in. Ang pagbilang ng pakete sa halip na palitan ang paraan kung paano nagiging multo na loop ang isang malusog na negosasyon.

Ang sagot ay maaari ring pagtanggi: kahilingan ng cookie, abiso ng hindi katanggap-tanggap na grupo, o error tungkol sa panukala. Ang mga ito ay lehitimong sagot, at nangangahulugang gumagana ang landas samantalang hindi gumagana ang patakaran. I-decode ang abiso sa halip na ituring na tagumpay ang bawat sagot. Kapag pinangalanan ng abiso ang isang grupo o panukala, ang pag-aayos ay nasa panig ng konfigurasyon at hindi sa firewall.

Mahalaga rin ang direksyon. Ang kahilingang walang sagot at ang sagot na hindi kailanman nakarating sa kliyente ay magkaibang sira, at ang pangalawa lamang ang mukhang timeout sa panig ng kliyente.

Ikaapat, ihiwalay ang IKE sa lahat ng iba pa sa 4500

Ang port 4500 ay nagdadala ng tatlong bagay na magkamukha sa buod: IKE sa likod ng apat na byte na sero na non-ESP marker, nakabalot na ESP na ang posisyon ng marker ay may SPI na hindi sero, at maiikling keepalive. Ang marker na iyon ang naghihiwalay sa IKE mula sa nakabalot na ESP, kaya basahin ang mga byte na iyon bago tawagin ang trapiko na IKE. Ang label ng tangkapan na nagbabasa ng 4500 ay numero ng port, hindi protokol.

Ang nakabalot na ESP ay naka-encrypt na payload na hindi mo maiintindihan nang walang susi, at ang presensya nito ay maaaring tanda ng gumaganang tunnel sa halip na sira.

Bantayan ang dalawang port para sa parehong pagtatangka, dahil maaaring lumipat ang IKE sa 4500 pagkatapos ng NAT detection kahit na binuksan ito sa 500. Ang trace na sinlak lamang sa 500 ay mukhang tahimik eksaktong kapag nagtagumpay ang negosasyon at lumipat. Palawakin ang filter at basahin muli ang parehong bintana ng oras bago maghango ng anumang konklusyon mula sa kawalan.

Ano ang ibig sabihin ng katahimikan sa isang punto ng pagmamasid

Ang kawalan ng sagot sa kliyente ay nagpapatunay lamang sa naobserbahan ng puntong iyon. Ang pagsasala, pagruruta, maling malayong address, hintong serbisyo at hindi pagkakatugma ng protokol ay lahat gumagawa ng parehong blangkong trace.

Ang may-kinalamang ICMP unreachable ay nagdaragdag ng ebidensya, ngunit basahin ang siniping pakete sa loob nito at itala ang address ng device na nagpadala nito.

Ang pagtanggi ng router ay ibang pangyayari kaysa sa napatunayang error na ibinabalik ng panig, at ang pangalawa lamang ang nagpapatunay na buhay ang serbisyo. I-ugnay ang parehong pagtatangka sa mga log ng server o sa isang aprubadong pagmamasid upang malaman kung dumating ang kahilingan at kung may sagot na lumabas. Panatilihing saklaw at pribado ang mga tangkapan, dahil ang nababasang mga field ng handshake ay hindi ginagawang hindi mapanganib ang natitirang bahagi ng file. Ang resultang sulit ay isang tugmang kahilingan at sagot, o isang dokumentadong puwang na may pinangalanang punto ng pagmamasid.