Bí a ṣe lè ka ìpààrọ IKE_SA_INIT tuntun nínú gbígbàsílẹ̀

Bẹ̀rẹ̀ láti inú gbígbàsílẹ̀ tí ó bẹ̀rẹ̀ ṣáájú àkọ́kọ́ pákẹ́tì ìgbìyànjú, bí bẹ́ẹ̀ kọ́ ìwọ yóò ka àárín ìjíròrò. Ìjíròrò tí ó ti ń lọ ṣáájú ń fi àwọn ìpààrọ tí a fi ààmì ṣe àti ìsọdọ̀tun kọ́kọ́rọ́ hàn, kò sì sí èyí tí ó dà bí ìbẹ̀rẹ̀. Ìbẹ̀rẹ̀ ni apá tí o lè ṣe àtúpalẹ̀ láìsí kọ́kọ́rọ́, ìdí nìyẹn tí ó fi ń dáhùn àwọn ìbéèrè àrúkọ̀wé dáadáa. Àwọn àyẹ̀wò mẹ́rin ní tẹ̀léra ń mú ọ láti inú gbígbàsílẹ̀ tuntun dé gbólóhùn tí a lè gbèjà nípa ẹ̀gbẹ́ wo ni ó dá ọ̀rọ̀ dúró.

Ní àkọ́kọ́, jẹ́rìí sí i pé gbígbàsílẹ̀ bẹ̀rẹ̀ láti ìbẹ̀rẹ̀

Gbígbàsílẹ̀ tí ó bẹ̀rẹ̀ lẹ́yìn tí ọ̀nà ìsọ̀lẹ̀ ti gorí yóò ní ìṣàn dátà tí a fi àpò ṣe àti keepalive àìdúró, méjèèjì sì jẹ́ ààmì tàbí ó fẹ́rẹ̀ẹ́ ṣófo. Tún ẹ̀rọ ìbánisọ̀rọ̀ náà ṣiṣẹ́ kí o sì gbà ìgbìyànjú náà fúnra rẹ̀, tàbí mọ̀ọ́mọ̀ dá ìsopọ̀ tuntun sílẹ̀ nígbà tí gbígbàsílẹ̀ ń lọ. Bí o kò bá lè ṣe ìgbìyànjú tuntun, kọ ọ́ sínú àwọn àkọsílẹ̀ rẹ, nítorí kò sí àtúpalẹ̀ kankan tí yóò mú ìbẹ̀rẹ̀ tí o kò gbà rí pada.

Fi gbígbàsílẹ̀ náà mọ́ àwọn ibi ìparí méjì àti UDP 500 àti 4500 kí fáìlì náà lè wà ní kékeré tó láti kà. Ní orí ẹ̀rọ tí ó dí, gbígbàsílẹ̀ tí kò ní àyọ̀ yóò sin ìjíròrò náà sábẹ́ ìrìnàjò tí kò ní í ṣe.

tcpdump -i any -n -s 0 -w fresh-ike.pcap 'udp port 500 or udp port 4500'

Pa fáìlì náà mọ́ nígbà tí ìgbìyànjú náà bá wọ́ni, nítorí gbígbàsílẹ̀ kan náà ni yóò dáhùn àwọn ìbéèrè méjì tí ó tẹ̀le: kí ni ìpààrọ náà, àti bóyá ohun kan padà wá. Fi àkókò ìbẹ̀rẹ̀ àti orúkọ àwọn ibi ìparí tí o yọ̀ lé e. Gbígbàsílẹ̀ tí kò ní àwọn òtítọ́ méjì yìí kò ní wúlò ní ọ̀sẹ̀ kan lẹ́yìn, nígbà tí àwọn àdírẹ́sì ti yí padà tí kò sì sí ẹni tí ó rántí ìgbìyànjú wo ni a gbà.

Ní èkejì, ka orí àkọ́kọ́ ṣáájú àwọn ẹrù

Orí IKE ń gbé àwọn atọ́ka pàrámítà ààbò, irú ìpààrọ àti ID ìfiránṣẹ́, ní ìjíròrò tuntun àwọn iye yìí yàtọ̀. Olùbẹ̀rẹ̀ ń hùmọ̀ SPI tí kò ṣe ódo, ìbéèrè àkọ́kọ́ ń gbé SPI olùdáhùn ódo nítorí a kò tíì rí èsì, irú ìpààrọ ni IKE_SA_INIT, ID ìfiránṣẹ́ sì jẹ́ ódo. Ohun gbogbo tí ó kù jẹ́ ti ìpele tí ó tẹ̀le ti ìjíròrò kan náà tàbí ti ìgbìyànjú mìíràn pátápátá.

Àwọn ẹrù àbá, ìpààrọ kọ́kọ́rọ́ àti nonce nínú ìpààrọ àkọ́kọ́ yìí ni a lè kà ní gbangba. Kíkà kì í ṣe ìjẹ́rìí, ní àkókò yìí kò sì sí ẹ̀gbẹ́ tí ó fi ìdánimọ̀ rẹ̀ hàn.

Iye Diffie-Hellman àdáni kì í kọjá okùn rárá, nítorí náà gbígbàsílẹ̀ kò fún ọ láyè láti yọ àwọn kọ́kọ́rọ́ ìpàdé jáde. Ìjẹ́rìí ń ṣẹlẹ̀ nínú ìpààrọ tí ó tẹ̀le, tí a fi ààbò bo pẹ̀lú ohun tí èkíní gbà. Bí ẹnìkan bá béèrè bóyá ẹ̀gbẹ́ kan jẹ́ òtítọ́, ìpààrọ yìí kò lè dáhùn ìbéèrè yẹn. Ó lè fi hàn pé àwọn ẹ̀gbẹ́ méjèèjì gbà lórí àbá kan tí wọ́n sì dá àṣírí tí ó pín tí kò sí nínú fáìlì.

Ní ẹ̀kẹta, so ìbéèrè pọ̀ mọ́ èsì rẹ̀

So nípa orúkọ SPI, irú ìpààrọ àti ID ìfiránṣẹ́, lẹ́yìn náà yẹ àmì èsì wò. Àtúnṣe ránṣẹ́ ń tún ID ìfiránṣẹ́ ti ìpilẹ̀ ṣe, kì í sì ṣe ìgbìyànjú wíwọlé kejì. Kíkà àwọn pákẹ́tì dípò àwọn ìpààrọ ni ọ̀nà tí ìjíròrò aláfíà fi di ìyí kíkú.

Èsì lè jẹ́ kíkọ̀ pẹ̀lú: ìbéèrè kúkì, ìkéde ẹgbẹ́ tí kò yẹ, tàbí àṣìṣe nípa àbá kan. Ìwọ̀nyí jẹ́ èsì tí ó tọ́, wọ́n sì túmọ̀ sí pé ọ̀nà ń ṣiṣẹ́ nígbà tí ìlànà kò ṣiṣẹ́. Ṣe àtúpalẹ̀ ìkéde náà dípò kíkà gbogbo èsì sí àṣeyọrí. Nígbà tí ìkéde bá dárúkọ ẹgbẹ́ tàbí àbá, àtúnṣe wà ní ẹ̀gbẹ́ ìṣètò kì í ṣe ní odi iná.

Ìtọ́sọ́nà pẹ̀lú ṣe pàtàkì. Ìbéèrè tí kò ní èsì àti èsì tí kò dé ọ̀dọ̀ ẹ̀rọ ìbánisọ̀rọ̀ rárá jẹ́ àìlera ọ̀tọ̀ọ̀tọ̀, èyí kejì nìkan ni ó dà bí àkókò tí ó tán ní ẹ̀gbẹ́ ẹ̀rọ ìbánisọ̀rọ̀.

Ní ẹ̀kẹrin, ya IKE sọ́tọ̀ kúrò nínú ohun gbogbo mìíràn lórí 4500

Ẹnu-ọ̀nà 4500 ń gbé àwọn ohun mẹ́ta tí wọ́n dà bí ara wọn nínú àkópọ̀: IKE lẹ́yìn àmì non-ESP ódo baiti mẹ́rin, ESP tí a fi àpò ṣe tí ipò àmì rẹ̀ ní SPI tí kò ṣe ódo, àti keepalive kúkúrú. Àmì yẹn ni ó ya IKE sọ́tọ̀ kúrò nínú ESP tí a fi àpò ṣe, nítorí náà ka àwọn baiti yẹn ṣáájú kí o tó pe ìrìnàjò náà ní IKE. Àmì gbígbàsílẹ̀ tí ó ń ka 4500 jẹ́ nọ́mbà ẹnu-ọ̀nà, kì í ṣe ìlànà.

ESP tí a fi àpò ṣe jẹ́ ẹrù tí a fi ààmì ṣe tí o kò lè túmọ̀ láìsí kọ́kọ́rọ́, wíwà rẹ̀ sì lè jẹ́ àmì ọ̀nà ìsọ̀lẹ̀ tí ń ṣiṣẹ́ dípò àìlera.

Ṣọ́ra fún àwọn ẹnu-ọ̀nà méjèèjì fún ìgbìyànjú kan náà, nítorí IKE lè kó lọ sí 4500 lẹ́yìn ìdánimọ̀ NAT bó tilẹ̀ jẹ́ pé ó ṣí lórí 500. Àmì tí a yọ̀ lórí 500 nìkan yóò dà bí ìdákẹ́jẹ́ gan-an nígbà tí ìjíròrò bá ṣàṣeyọrí tí ó sì kó lọ. Gbèrò àyọ̀ náà kí o sì tún ka fèrèsé àkókò kan náà ṣáájú kí o tó yọ èròyí kankan láti inú àìsí.

Ohun tí ìdákẹ́jẹ́ ní ibi àkíyèsí kan túmọ̀ sí

Àìsí èsì ní ẹ̀rọ ìbánisọ̀rọ̀ ń jẹ́rìí sí ohun tí ibi yẹn kíyèsí nìkan. Àyọ̀, ìtọ́sọ́nà, àdírẹ́sì ọ̀nà jíjìn tí kò tọ́, iṣẹ́ tí ó dúró àti àìbáramu ìlànà gbogbo wọn ń mú àmì òfìfo kan náà jáde.

ICMP unreachable tí ó yẹ ń fi ẹ̀rí kún, ṣùgbọ́n ka pákẹ́tì tí a tọ́ka sí nínú rẹ̀ kí o sì kọ àdírẹ́sì ẹ̀rọ tí ó rán an.

Ìkọ̀ olùtọ́nà jẹ́ ìṣẹ̀lẹ̀ ọ̀tọ̀ọ̀tọ̀ sí àṣìṣe tí a jẹ́rìí tí ẹ̀gbẹ́ kejì dá padà, èyí kejì nìkan ni ó jẹ́rìí pé iṣẹ́ náà wà láàyè. So ìgbìyànjú kan náà pọ̀ mọ́ àwọn àkọsílẹ̀ ẹ̀rọ ìsìn tàbí àkíyèsí tí a fọwọ́ sí láti mọ̀ bóyá ìbéèrè dé àti bóyá èsì jáde. Pa àwọn gbígbàsílẹ̀ mọ́ ní ààlà àti ní àdáni, nítorí àwọn pápá ìfọwọ́sowọ́pọ̀ tí a ń kà kì í mú ìyókù fáìlì di aláìléwu. Èsì tí ó tọ́ láti ní ni ìbéèrè àti èsì tí a so pọ̀ kan, tàbí àlàfo tí a kọ sílẹ̀ pẹ̀lú ibi àkíyèsí tí a dárúkọ.