Paano basahin ang unang palitan ng IKEv2 sa isang pagkuha ng packet

Ang mga pagkuha sa gitna ng session ang karaniwang dahilan kung bakit mukhang ingay ang isang bakas ng IKEv2, dahil nagbabago na ng mga susi o nagpapalitan na ng naka-encrypt na payload ang magkabilang panig kapag nagsimula ang pag-record. Magsimula na lang sa isang bagong pagtatangka ng koneksyon, upang ang unang mensahe sa file ang siyang nagbubukas ng negosasyon. Ipinapalagay ito ng pagkakasunod-sunod ng pagbasa sa ibaba, at minamarkahan nito ang puntong humihinto ang isang packet sa pagpapatunay ng anuman tungkol sa malayong dulo. Ang laktawan ang hakbang na iyon ang dahilan kung bakit ang gumaganang tunnel ay naisusuri bilang naka-block na port.

Tiyakin na tinitingnan mo ang pambungad na palitan

Nagsisimula ang negosasyon ng IKEv2 sa IKE_SA_INIT, uri ng palitan 34, ID ng mensahe 0. Pumipili ang nagpasimula ng SPI na hindi sero, at ang SPI ng tagatugon ay sero sa unang kahilingang iyon at hindi sero sa tugon. Ang tatlong katotohanang iyon ang naghihiwalay ng bagong pagtatangka mula sa pag-renew ng susi o mula sa mensaheng IKE_AUTH na nagkataong nasa tuktok ng isang pagkuha.

Nababasa ang mga field ng header, gayundin ang mga payload ng panukala, palitan ng susi at nonce. Ang nababasa ay hindi nangangahulugang napatunayan: wala pang panig na nagpatunay ng pagkakakilanlan sa puntong ito, at ang pribadong halaga ng Diffie-Hellman ay hindi kailanman lumilitaw sa kawad.

I-print ang mga field bilang talahanayan sa halip na mag-scroll sa isang panel ng pag-decode, dahil nagiging halata sa mga kolum ang mga muling pagpapadala at hindi tugmang SPI.

tshark -r ike.pcapng -Y "isakmp" -T fields -e frame.number -e ip.src -e udp.srcport -e isakmp.exchangetype -e isakmp.messageid -e isakmp.initiator_spi -e isakmp.responder_spi

Basahin ang output nang pares. Ang kahilingang may ID ng mensahe 0 na sinusundan ng tugon na may parehong ID at di-sero na SPI ng tagatugon ay isang palitan, kahit lumitaw ito nang tatlong beses dahil muling ipinadala ang kahilingan. Ang tatlong magkatulad na kahilingan ay hindi tatlong pag-login, at ang pagtrato sa kanila nang ganoon ang dahilan kung bakit napagpasyahan ng mga tao na umiikot sa loop ang kliyente samantalang matiyaga lamang ito. Ayusin ayon sa ID ng mensahe, pagkatapos ayon sa timestamp, at ang buong usapan ay liliit sa isang maikling listahan ng mga pagtatangka.

Basahin ang pagtanggi bago ang tagumpay

Ang tugon ay hindi awtomatikong pag-unlad. Maaaring sumagot ang tagatugon ng abiso ng cookie at asahan na susubukan muli ng nagpasimula, o ng INVALID_KE_PAYLOAD na nagbabanggit ng grupong mas tatanggapin nito. Pareho silang dumarating bilang maayos na mensaheng IKE, at pareho silang mukhang tapos na palitan sa isang filter na puro nagbibilang ng packet.

Buksan ang payload ng abiso at basahin ang uri bago ang lahat. Ang hamon ng cookie ay nangangahulugang ipinagtatanggol ng tagatugon ang sarili laban sa pekeng source address, at kailangang magpadala muli ng kliyente kalakip ang cookie. Ang di-wastong grupo ay nangangahulugang hindi nagkakasundo ang dalawang panukala, na walang dami ng muling pagtatangka ang makakabago hanggang gumalaw ang configuration ng isang panig.

Tanging IKE_AUTH, ang ikalawang palitan, ang nagdadala ng naka-encrypt na pagkakakilanlan at ng mga payload ng pagpapatunay. Kaya sinasabi sa iyo ng kumpletong IKE_SA_INIT na nagkasundo ang mga panig sa mga algorithm at hinangong susi, at wala talagang sinasabi tungkol sa kung tatanggapin ang mga kredensyal. Asahan din ang dalawang mensahe doon, at asahan na pareho silang malabo kung walang mga susi ng session.

Ang port 4500 ay hindi isang protocol

Karaniwang dinadala ng UDP 500 ang pambungad na palitan. Kapag naisagawa na ang pagkilala sa NAT, lumilipat ang IKE sa 4500 at nilalagyan ng apat na byte na sero, di-ESP na pananda ang bawat mensahe. Ang naka-encapsulate na ESP sa parehong port ay nagsisimula sa halip sa di-sero na ESP SPI, at ang isang byte na NAT keepalive ay ikatlong anyo na lumilitaw kapag wala nang ibang nangyayari.

Ang filter na tumutugma lamang sa port ay hinahalo ang tatlo, kaya napakakaunting napagpapasyahan ng "may trapiko sa 4500". Paghiwalayin ang tanawin ayon sa protocol bago magpasyahan ang anuman tungkol sa malayong dulo.

tshark -r ike.pcapng -Y "udp.port == 4500 && isakmp" -T fields -e frame.number -e isakmp.exchangetype
tshark -r ike.pcapng -Y "udp.port == 4500 && !isakmp" -T fields -e frame.number -e esp.spi

Inilalarawan ng katahimikan ang punto ng pagmamasid

Ang mga kahilingang walang tugon ay nagtatatag ng eksaktong isang bagay: sa puntong iyon ng pagkuha ay walang tugon na lumitaw. Ang pag-filter, isang rutang nagpapadala ng tugon sa ibang lugar, isang tagatugong hindi maabot, o isang tagatugong ayaw sa panukala ay lahat nagbubunga ng parehong walang laman na resulta, at hindi sila hihiwaly ng pangkalahatang pagsusuri ng UDP.

Ang ICMP na hindi maabot ay ebidensya ng ibang uri. Basahin ang siniping packet sa loob nito at tukuyin kung aling aparato ang naglabas, dahil ang administratibong pagtanggi ng router ay hindi napatunayang error mula sa malayong dulo.

tshark -r ike.pcapng -Y "icmp.type == 3" -T fields -e frame.number -e ip.src -e icmp.code

I-ugnay ang parehong pagtatangka sa mga log sa panig ng server kung saan pinapayagan kang basahin ang mga ito. Dumating ba ang kahilingan, sumagot ba ang serbisyo, at saan huminto ang tugon? Ang tatlong sagot na iyon ay maghahatid sa iyo sa problema sa ruta o problema sa patakaran, at mas mababa ang gastos kaysa sa ikaapat na pag-ikot ng mga kredensyal.