Bir yakalamada yeni IKE_SA_INIT takasını nasıl okursunuz

Denemenin ilk paketinden önce başlayan bir yakalamayla işe başlayın, yoksa bir konuşmanın ortasını okursunuz. Zaten süren bir müzakere şifrelenmiş takaslar ve anahtar yenilemeleri gösterir, ikisi de açılışa benzemez. Açılış, anahtar olmadan çözebileceğiniz kısımdır, bu yüzden erişilebilirlik sorularına bu kadar iyi yanıt verir. Sırayla yapılan dört kontrol sizi yeni bir yakalamadan hangi tarafın konuşmayı bıraktığına dair savunulabilir bir ifadeye götürür.

Önce yakalamanın baştan başladığını doğrulayın

Tünel açıldıktan sonra başlatılan bir yakalama, kapsüllenmiş veri akışını ve düzenli keepalive'ları içerir; ikisi de ya şifrelidir ya da neredeyse boştur. İstemciyi yeniden başlatın ve denemenin kendisini kaydedin ya da yakalama sürerken bilerek yeni bir bağlantı tetikleyin. Yeni bir deneme üretemiyorsanız bunu notlarınıza yazın, çünkü hiçbir çözümleme hiç kaydetmediğiniz bir açılışı geri getirmez.

Yakalamayı iki uç noktaya ve UDP 500 ile 4500'e sınırlayın ki dosya okunacak kadar küçük kalsın. Yoğun bir ana makinede filtresiz bir yakalama, müzakerenin üzerini ilgisiz trafikle örter.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Deneme ilginç olduğunda dosyayı saklayın, çünkü aynı yakalama sonraki iki soruyu da yanıtlar: takas neydi ve bir şey geri döndü mü. Üzerine başlangıç saatini ve filtrelediğiniz uç nokta çiftini yazın. Bu iki olgudan yoksun bir yakalama bir hafta sonra işe yaramaz, adresler değişmiş ve kimse hangi denemenin kaydedildiğini hatırlamıyordur.

İkincisi, yüklerden önce başlığı okuyun

IKE başlığı güvenlik parametresi dizinlerini, takas türünü ve ileti kimliğini taşır ve yeni bir müzakerede bu değerler ayırt edicidir. Başlatan taraf sıfırdan farklı bir SPI uydurur, ilk istek yanıtlayanın SPI'sini sıfır taşır çünkü henüz bir yanıt görülmemiştir, takas türü IKE_SA_INIT ve ileti kimliği sıfırdır. Geri kalan her şey aynı müzakerenin sonraki aşamasına ya da tamamen başka bir denemeye aittir.

Bu ilk takastaki öneri, anahtar takası ve nonce yükleri açık olarak okunabilir. Okunabilir olmak doğrulanmış olmak değildir ve bu noktada hiçbir taraf kimliğini kanıtlamamıştır.

Özel Diffie-Hellman değeri kabloyu hiç geçmez, bu yüzden yakalama oturum anahtarları türetmenize izin vermez. Kimlik doğrulama bir sonraki takasta gerçekleşir, ilkinin üzerinde anlaştığı şeyle korunur. Biri bir tarafın gerçek olup olmadığını sorarsa, bu takas o soruyu yanıtlayamaz. Yalnızca iki tarafın bir öneri üzerinde anlaştığını ve dosyada bulunmayan ortak bir sır ürettiğini gösterebilir.

Üçüncüsü, isteği yanıtıyla eşleştirin

SPI çifti, takas türü ve ileti kimliği üzerinden eşleştirin, sonra yanıt bayrağını denetleyin. Yeniden iletim özgün ileti kimliğini yineler ve ikinci bir oturum açma denemesi değildir. Takas yerine paket saymak, sağlıklı bir müzakerenin hayalet döngüye dönüşme yoludur.

Yanıt bir ret de olabilir: bir çerez isteği, kabul edilemez grup bildirimi ya da bir öneriyle ilgili hata. Bunlar meşru yanıtlardır ve yolun çalıştığını, ilkenin çalışmadığını gösterir. Her yanıtı başarı saymak yerine bildirimi çözümleyin. Bildirim bir grup ya da öneri adlandırdığında onarım güvenlik duvarında değil yapılandırma tarafındadır.

Yön de önemlidir. Yanıtsız bir istek ile istemciye hiç ulaşmayan bir yanıt farklı arızalardır ve yalnızca ikincisi istemci tarafında zaman aşımı gibi görünür.

Dördüncüsü, 4500 üzerinde IKE'yi diğer her şeyden ayırın

4500 bağlantı noktası özet görünümde benzer görünen üç şey taşır: dört baytlık sıfır non-ESP işaretçisinin arkasındaki IKE, işaretçi konumunda sıfırdan farklı SPI bulunan kapsüllenmiş ESP ve kısa keepalive'lar. IKE'yi kapsüllenmiş ESP'den ayıran o işaretçidir, bu yüzden trafiği IKE olarak adlandırmadan önce o baytları okuyun. 4500 okuyan bir yakalama etiketi bağlantı noktası numarasıdır, protokol değil.

Kapsüllenmiş ESP, anahtar olmadan yorumlayamayacağınız şifrelenmiş yüktür ve varlığı arıza değil çalışan bir tünelin işareti olabilir.

Aynı deneme için iki bağlantı noktasını da izleyin, çünkü IKE 500 üzerinde açılmış olsa da NAT algılamasından sonra 4500'e geçebilir. Yalnızca 500 üzerinde filtrelenmiş bir iz, tam da müzakere başarılı olup yer değiştirdiğinde sessiz görünür. Filtreyi genişletin ve yokluktan herhangi bir sonuç çıkarmadan önce aynı zaman penceresini yeniden okuyun.

Bir gözlem noktasındaki sessizliğin anlamı

İstemcide yanıt olmaması yalnızca o noktanın gözlediğini kanıtlar. Filtreleme, yönlendirme, yanlış uzak adres, durmuş bir hizmet ve protokol uyuşmazlığı hepsi aynı boş izi üretir.

İlgili bir ICMP unreachable kanıt ekler, ancak içinde alıntılanan paketi okuyun ve onu gönderen aygıtın adresini not edin.

Bir yönlendiricinin reddi, tarafın döndürdüğü doğrulanmış hatadan farklı bir olaydır ve hizmetin yaşadığını yalnızca ikincisi kanıtlar. Aynı denemeyi sunucu günlükleriyle ya da onaylanmış bir gözlemle ilişkilendirerek isteğin gelip gelmediğini ve bir yanıtın çıkıp çıkmadığını öğrenin. Yakalamaları sınırlı ve özel tutun, çünkü okunabilir el sıkışma alanları dosyanın geri kalanını zararsız yapmaz. Elde etmeye değer sonuç, eşleştirilmiş bir istek ve yanıt ya da adlandırılmış bir gözlem noktasıyla belgelenmiş bir boşluktur.