Beim schnüffelnden IPSec-verkürzten Datenverkehr werden die ursprünglichen Anwendungsschichtpakete (wie HTTP, SMTP usw.) nicht angezeigt. Stattdessen sehen Sie in erster Linie Pakete, die im IPSec -Protokoll eingefasst sind. Die spezifischen Pakettypen, die Sie beobachten, hängen vom IPSec -Modus (Transport oder Tunnel) und dem zugrunde liegenden IP -Protokoll ab. Hier ist eine Aufschlüsselung:
Gemeinsame Pakettypen:
* ESP (Einkapselung der Sicherheitsnutzlast einkapseln): Dies ist der Kern der IPSec -Verschlüsselung. Sie sehen ESP -Pakete in der Netzwerkebene und ersetzen den ursprünglichen IP -Header. Der ESP -Header enthält Informationen zu Sicherheitsparametern, und die Nutzlast sind die verschlüsselten Daten.
* ah (Authentifizierungsheader): Wenn die Authentifizierung neben der Verschlüsselung verwendet wird (was üblich ist), sehen Sie AH -Pakete. AH bietet Datenintegrität und Authentifizierung, verschlüsselt aber die Daten selbst nicht. Es geht normalerweise voraus, wenn beide verwendet werden.
* IP -Paket (äußerer IP -Header): Im Tunnelmodus Das ursprüngliche IP -Paket ist in einem * neuen * IP -Paket eingekapselt. Sie sehen diesen äußeren IP -Header, der die Quell- und Ziel -IP -Adressen enthält, die für den IPSec -Tunnel verwendet werden. Im Transportmodus Es gibt keinen äußeren IP -Header; Der ESP -Header ersetzt den ursprünglichen IP -Header.
* UDP (User Datagram Protocol) oder TCP (Transmission Control Protocol): Manchmal kann IPSec abhängig von der Konfiguration über UDP oder TCP implementiert werden. Sie werden diese Header mit Transportschicht nur dann sehen, wenn IPSec nicht direkt über IP ausgeführt wird, was seltener ist. (Dies wird bei ipec über NAT-T häufiger gesehen).
was Sie * nicht sehen:
* Originalanpassungsschicht Header: Diese sind in der ESP -Nutzlast versteckt und verschlüsselt. Sie können die HTTP, SMTP, FTP usw., Header, ohne den IPSec -Tunnel zu sehen.
Zusammenfassend: Der dominante Pakettyp wird ESP sein, der möglicherweise im Tunnelmodus AH vorausgeht. Sie sehen auch den äußeren IP -Header im Tunnelmodus. Das Fehlen identifizierbarer Anwendungsschichtprotokolle bestätigt, dass der Datenverkehr von IPSec-verschlüsselt ist.
