Yangi IKE_SA_INIT almashinuvini yozuvda qanday o‘qish kerak

Urinishning birinchi paketidan oldin boshlanadigan yozuvdan boshlang, aks holda suhbatning o‘rtasini o‘qiysiz. Allaqachon davom etayotgan muzokara shifrlangan almashinuvlar va kalit yangilanishlarini ko‘rsatadi, ikkalasi ham ochilishga o‘xshamaydi. Ochilish — kalitlarsiz dekodlash mumkin bo‘lgan qism, shuning uchun u yetib borish savollariga juda yaxshi javob beradi. Tartib bilan qilingan to‘rtta tekshiruv sizni yangi yozuvdan qaysi tomon gapirishni to‘xtatgani haqidagi ishonchli bayonotga olib boradi.

Birinchidan, yozuv boshidan boshlanishini tasdiqlang

Tunnel ko‘tarilgandan keyin boshlangan yozuv inkapsulyatsiya qilingan ma’lumot oqimini va davriy keepalive xabarlarini o‘z ichiga oladi, ikkalasi ham shifrlangan yoki deyarli bo‘sh. Klientni qayta ishga tushirib, urinishni o‘zini yozib oling yoki yozuv davom etayotganda ataylab yangi ulanish hosil qiling. Yangi urinish yarata olmasangiz, buni qaydlaringizga yozing, chunki hech qanday dekodlash hech qachon yozmagan ochilishingizni qaytara olmaydi.

Yozuvni ikki so‘nggi nuqta va UDP 500 hamda 4500 bilan cheklang, fayl o‘qish uchun yetarlicha kichik qolsin. Band xostda filtersiz yozuv muzokarani aloqasiz trafik ostida ko‘madi.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Urinish qiziqarli bo‘lganda faylni saqlang, chunki o‘sha yozuv keyingi ikkita savolga javob beradi: almashinuv nima edi va biror narsa qaytdimi. Unga boshlanish vaqtini va siz filtrlagan so‘nggi nuqtalar juftini yozib qo‘ying. Bu ikki fakt bo‘lmasa, yozuv bir haftadan keyin foydasiz, manzillar o‘zgarib, qaysi urinish yozilganini hech kim eslay olmaydi.

Ikkinchidan, yuklamalardan oldin sarlavhani o‘qing

IKE sarlavhasi xavfsizlik parametri indekslarini, almashinuv turini va xabar ID sini olib yuradi, yangi muzokarada bu qiymatlar o‘ziga xos. Boshlovchi nolga teng bo‘lmagan SPI o‘ylab topadi, boshlang‘ich so‘rov javob beruvchining nol SPI sini olib yuradi, chunki hali javob ko‘rinmagan, almashinuv turi IKE_SA_INIT, xabar ID si esa nol. Qolgan hamma narsa o‘sha muzokaraning keyingi bosqichiga yoki butunlay boshqa urinishga tegishli.

Bu birinchi almashinuvdagi taklif, kalit almashinuvi va nonce yuklamalari ochiq holda o‘qiladi. O‘qilishi tasdiqlangan degani emas, va bu bosqichda hech bir tomon o‘z shaxsini isbotlamagan.

Shaxsiy Diffie-Hellman qiymati hech qachon simdan o‘tmaydi, shuning uchun yozuv sizga seans kalitlarini olishga imkon bermaydi. Autentifikatsiya keyingi almashinuvda sodir bo‘ladi, u birinchisi kelishgan narsa bilan himoyalangan. Agar kimdir tomon haqiqiymi deb so‘rasa, bu almashinuv bu savolga javob bera olmaydi. Faqat ikkala tomon taklifga kelishib, faylda bo‘lmagan umumiy sir yaratganini ko‘rsata oladi.

Uchinchidan, so‘rovni uning javobi bilan moslashtiring

SPI jufti, almashinuv turi va xabar ID si bo‘yicha moslashtiring, so‘ngra javob bayrog‘ini tekshiring. Qayta yuborish asl xabar ID sini takrorlaydi va ikkinchi kirish urinishi emas. Almashinuvlar o‘rniga paketlarni sanash — sog‘lom muzokara xayoliy halqaga aylanishining yo‘li.

Javob rad ham bo‘lishi mumkin: cookie so‘rovi, qabul qilib bo‘lmaydigan guruh bildirishnomasi yoki taklif haqidagi xato. Bular qonuniy javoblar va yo‘l ishlayotganini, siyosat esa ishlamayotganini bildiradi. Har bir javobni muvaffaqiyat deb hisoblash o‘rniga bildirishnomani dekodlang. Bildirishnoma guruh yoki taklifni nomlaganda, tuzatish xavfsizlik devorida emas, konfiguratsiya tomonida.

Yo‘nalish ham muhim. Javobsiz so‘rov yoki klientga hech qachon yetib bormaydigan javob turlicha nosozliklar, va faqat ikkinchisi klient tomonidagi vaqt tugashiga o‘xshaydi.

To‘rtinchidan, 4500 da IKE ni qolgan hamma narsadan ajrating

4500 porti qisqacha ko‘rinishda bir xil ko‘rinadigan uchta narsani olib yuradi: to‘rt baytli nol non-ESP belgisi orqasidagi IKE, belgi o‘rnida nolga teng bo‘lmagan SPI bo‘lgan inkapsulyatsiya qilingan ESP va qisqa keepalivelar. IKE ni inkapsulyatsiya qilingan ESP dan aynan shu belgi ajratadi, shuning uchun trafikni IKE deb atashdan oldin o‘sha baytlarni o‘qing. 4500 deb o‘qiydigan yozuv belgisi port raqami, protokol emas.

Inkapsulyatsiya qilingan ESP — kalitlarsiz talqin qilib bo‘lmaydigan shifrlangan yuk, va uning mavjudligi nosozlik emas, ishlayotgan tunnel belgisi bo‘lishi mumkin.

Bir xil urinish uchun ikkala portni kuzating, chunki IKE 500 da ochilgan bo‘lsa ham NAT aniqlangandan keyin 4500 ga o‘tishi mumkin. Faqat 500 bo‘yicha filtrlangan iz muzokara muvaffaqiyatli bo‘lib joy o‘zgartirgan paytda jim ko‘rinadi. Filtrni kengaytiring va yo‘qlikdan biron xulosa chiqarishdan oldin o‘sha vaqt oynasini qayta o‘qing.

Bitta kuzatuv nuqtasidagi sukunat nimani anglatadi

Klientda javob yo‘qligi faqat o‘sha nuqta ko‘rgan narsani isbotlaydi. Filtrlash, marshrutlash, noto‘g‘ri uzoq manzil, to‘xtagan xizmat va protokol nomuvofiqligi — barchasi bir xil bo‘sh iz beradi.

Tegishli ICMP unreachable dalil qo‘shadi, lekin uning ichidagi iqtibos qilingan paketni o‘qing va uni yuborgan qurilma manzilini yozib qo‘ying.

Routerning rad etishi tomon qaytargan autentifikatsiyalangan xatodan boshqa hodisa, va xizmatning tirikligini faqat ikkinchisi isbotlaydi. O‘sha urinishni server jurnallari yoki tasdiqlangan kuzatuv bilan bog‘lab, so‘rov kelganini va javob chiqqanini bilib oling. Yozuvlarni cheklangan va maxfiy saqlang, chunki o‘qiladigan qo‘l berish maydonlari faylning qolgan qismini zararsiz qilmaydi. Qimmatli natija — bitta moslashtirilgan so‘rov va javob yoki nomlangan kuzatuv nuqtasi bilan bitta hujjatlashtirilgan bo‘shliq.