IPSec — набор открытых протоколов для установления шифрованного соединения между двумя пирами. Технология обесчивает аутентификацию данных, целостность данных при передаче по открытым сетям, конфиденциальность данных, Anti-replay (повторное воспроизведение) злоумышленником пакета при перехвате.

Используемые протоколы:

• ISAKMP — <Internet Security Association and Key Management Protocol> — используется для согласования security associations (SA) между пирами. Используются пакеты UDP/500
• IKE — <Internet Key Exchange> — Согласование ключей при использовании асимметричного шифрования.
• ESP — <Encapsulating Security Payload> — Отвечает за шифрование данных, контроль целостности данных, аутентификацию пиров. Работает по IP/50
• AH — <Authentication Header> — Обеспечивает контроль целостности данных и аутентификацию пиров, но не шифрует данные. Работает по IP/51

Вверх!

Режимы работы IPSec

• Транспортный режим — IPSec заголовок добавляется после IP заголовка, т.о., шифруются только даннные.
• Туннельный режим — Новый IP заголовок добавляется в начало пакета, т.о., исходный пакет шифруется полностью.

Вверх!

Алгоритмы шифрования

Вверх!

Алгоритмы хэширования

Вверх!

Типы IPsec Transform-set

Вверх!

Фазы IKE

• Фаза 1 — Между пирами создается ISAKMP SA для обмена служебным трафиком. Может быть в главном или агрессивном режиме.
• Фаза 1.5 — Опционально. Включение XAuth для пользователей
• Фаза 2 — Создается IPSec SA для обмена трафиком

Вверх!

Конфигурация (Cisco)

crypto isakmp policy policy_no
encryption {des/3des/aes 128/aes 192/aes 256}
hash {md5/sha/sha256/sha384/sha512}
authentication {pre-share/rsa-encr/rsa-sig}
group {1/14/15/16/19/2/20/21/24/5}
lifetime {60-86400}

crypto isakmp key key_no key_name address peer_ip_address

crypto ipsec transform-set tr_set_name ts_type1 ts_type2
mode {transport/tunnel}

crypto ipsec profile ipsec_profile_name
set transform-set tr_set_name

Interface Tunnel0
ip address tunnel_ip tunnel_ip_mask
tunnel source real_ip_source
tunnel destination real_ip_dest
tunnel mode {aurp/cayman/dvmrp/eon/gre/ipip/ipsec/iptalk/ipv6/ipv6ip/mpls/nos/rbscp} 
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec_profile_name

Вверх!

Траблшутинг (Cisco)

show crypto isakmp sa
show crypto isakmp policy
show crypto ipsec sa
show crypto ipsec transform-set
debug crypto {isakmp/ipsec}

Вверх!

• https://networklessons.com/cisco/ccie-routing-switching/ipsec-internet-protocol-security
• https://www.cisco.com/c/en/us/td/docs/net_mgmt/vpn_solutions_center/2-0/ip_security/provisioning/guide/IPsecPG1.html

Tcpdump — утилита для анализа и перехвата сетевого трафика. Используется для диагностики сетевых проблем. Можно увидеть какими пакетами обмениваются устройства, какие порты используются,

Официальный сайт проекта: https://www.tcpdump.org/

Как выглядит вывод команды?

Один перехваченный пакет — одна строка в выводе.

12:54:21.590381 IP 10.20.3.215 > 10.100.1.50: ICMP echo request, id 27945, seq 1, length 64

В строках может содержаться информация:

• Метка времени
• Протокол
• IP адрес или имя источника
• Исходящий порт
• IP адрес или имя назначения
• Порт назначения
• Флаги
• Порядковый номер пакета
• Номер подтверждения
• Размер окна в байтах
• Длина полезной нагрузки

Завершение работы утилиты — Ctrl+C

Вверх

Флаги TCP

Может быть более одного значения в одном пакете.

• S – SYN
• F – FIN
• . – ACK
• P – PUSH
• R – RST

tcpdump ‘tcp[tcpflags] == tcp-rst’

Запуск утилиты:

Запускаем с правами root

Вверх

Опции запуска

tcpdump -D – вывод всех доступных для захвата трафика сетевых интерфейсов

tcpdump –list-interfaces – оно же.

Для фильтрации вывода используется язык BPF.

Например

sudo tcpdump port 53.

Здесь port 53 – это BPF фильтр.

Другие BPF – фильтры:

• port
• portrange
• net
• mask
• host
• src
• dst
• tcp
• udp
• icmp
• greater
• ip6
• less
• <=

для комбинирования фильтров можно использовать логические операторы

• and
• or
• not

Например

tcpdump -A greater 1000 and \(src host amazon.com or src host tcpdump.com\)

Скобки здесь нужны чтобы размер пакета учитывался для обоих источников. «\» — потому что это shell-команда.  

tcpdump -A greater 1000 and \(src host amazon.com or tcpdump.com\) – тоже работает. Исключили повторяющиеся идентификаторы.

tcpdump `greater 1000 and (src host amazon.com or tcpdump.com)` — тоже работает

Для просмотра файла дампа в Wireshark нужно сохранить вывод в файл с расширением .pcap и открыть его в wireshark.

Как передать вывод tcpdump в wireshark:

ssh <remote.ip> tcpdump -pni any -w — -s0 -U port dest_port | wireshark -k -i – для трансляции вывода из tcpdump в wireshark.

Запись в файл: sudo tcpdump host host_ip -w filename -c 10000 (записывает только 10000 пакетов)

-i – для фильтра по интерфейсу. Рекомендуется указывать интерфейс или писать -i any, т.к. по дефолту интерфейс может быть неподходящий.

-w – для записи в файл

-c – количество пакетов

-A – полный вывод содержимого пакетов в формате ASCII (-X – для вывода в HEX-формате). -x – вывод в hex-режиме первых 82 байт пакета. Для вывода ethernet-заголовка используется -xx (добавит 14 байт).

(можно использовать ngrep)

-n – запрет трансляции ip адресов в имена (по умолчанию транслируется).

В случае большого количества улавливаемых пакетов, постоянные DNS-запросы замедляют и даже могут приостановить работу tcpdump, также эту опцию нужно использовать при отсутствии связи с DNS-сервером или при его некорректной работе.

-e – информация L2 . Например MAC-адреса

-P  — показывает только пакеты, которые приходят или отправляются с данного IP.

Флаги -v, -vv и -vvv влияют на подробность вывода.

-t – исключить timestamp

-tt – timestamp – количество секунд, отсчитываемое от 1.01.1970

-ttt – разница между этой строкой и предыдущей.

-tttt – удобный вывод времени

-r – прочитать записанный дамп

-s – размер захватываемого пакета. По дефолту, когда дамп сохраняется в файл, сохраняется только 68 байт данных каждого пакета. -s 0 – говорит сохранять пакет целиком.

Примеры

tcpdump src net 10.208.148.0 mask 255.255.255.0

tcpdump src net 10.208.148.0/24

tcpdump -ni eth1 greater 1000 – захватывает пакеты размером более 1000 байт

См. также https://packetlife.net/media/library/12/tcpdump.pdf

Список литературы

• Let’s learn tcpdump! by Julia Evans.
• http://www.alexonlinux.com/tcpdump-for-dummies

Вверх