ike-scan kry geen antwoord van ’n werkende IPsec-deurgang

Die deurgang bedien elke dag telefone en skootrekenaars, en tog meld ike-scan dat geen gaste geantwoord het nie. Daardie uitvoer lyk soos bewys dat IPsec op die toestel afwesig is. Gewoonlik beteken dit dat die toestel elke voorstel in die proef verwerp het en gekeer het om iets te antwoord nie. Stilte is ’n antwoord, en dit is die minste insig wat die hulpmiddel jou kan gee.

Werk deur drie aparte vrae: het die pakket aangekom, het enige voorstel gepas, en het iets anders die eweknie geweier?

Stap 1: lees die voorstel wat die hulpmiddel stuur

Hoofmodus begin met ’n SA-lading wat die transformasies lys wat die inisieerder sal aanvaar, en ike-scan vul daardie lys uit ’n saamgestelde standaard. Die standaardstel is doelbewus oud: DES en 3DES vir versleuteling, MD5 en SHA1 vir hasjfunksies, groepe 1 en 2 vir die sleuteluitruiling, vooraf-gedeelde sleutels vir outentikasie. Geen AES, geen SHA-2, geen groep 14 nie. ’n Deurgang wat vir AES-256 met SHA-256 en modp2048 opgestel is, deel niks met dit nie.

Sommige implementasies antwoord ’n ongematchte proef met ’n NO-PROPOSAL-CHOSEN-mededeling. Andere laat dit bloot val, wat algemeen is by toestelle wat onbekende eweknieë as geraas behandel. In elk geval druk die skandering niks, en daardie niks is identies aan hoe ’n gefiltreerde UDP 500 van buite lyk, soos die ike-scan-projekdokumentasie oor die standaardstel duidelik maak.

Stap 2: bied een moderne voorstel aan

Vervang die standaardstel met --trans. Die attributvorm neem IKE-attribuutnommers direk: 1 vir versleuteling, 2 vir hasj, 3 vir outentikasie, 4 vir die groep, en 14 vir sleutellengte wanneer die algoritme een neem. Wat uitkom, is ’n reël wat jy in ’n veranderingsbeoordeling kan voorlees.

Die posisionele vorm dra dieselfde waardes in orde en vermy hakies, wat saak maak wanneer die opdrag deur ’n skel reis.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Een voorstel per pakket is stadig wanneer jy opsom, so herhaal oor die waarskynlike waardes: versleuteling 5, 7/128, 7/192, 7/256; hasj 1, 2, 5, 6, 7; groepe 1, 2, 5, 14, 15, 19, 20, 21; outentikasie 1 vir ’n vooraf-gedeelde sleutel en 3 vir RSA-handtekeninge. Druk elke opdrag voor jy dit uitvoer, sodat die transkrip toon wat aangebied is en in watter orde.

Stap 3: interpreteer ’n antwoord

’n Antwoord bewys presies twee dinge: dat ’n IKE-responder op daardie adres bereikbaar is, en dat een aangebode voorstel aanvaarbaar was. Dit sê niks oor die vooraf-gedeelde sleutel, die L2TP-laag, of daar ’n gebruikerskonto bestaan nie. ’n Suksesvolle skandering is heeltemal versoenbaar daarmee dat elke latere stadium misluk.

Op ’n deurgang wat jy bewerk, is dit die werklik nuttige deel. Die skandering vertel jou watter voorstels die toestel nog aanvaar, en ’n resultaat wat tot verouderde transformasies beperk is, is ’n bevinding oor toestelbeleid, nie ’n rede om die kliënt te verswak nie.

Stap 4: interpreteer stilte

Stilte is swakker bewyse as wat dit lyk. Elke voorstel kan verwerp gewees het, UDP 500 en 4500 kan gefiltreer word, die bron kan ná ’n uitbarsting aan tempo beperk word, of die diens kan op ’n ander adres luister as die een wat jy geskandeer het. Vergelyk die deurgang se IKE-log met ’n kliënt wat al met geldige geloofsbriewe verbind, voordat jy enigiets oor die boks besluit.

Uitbarstingsgedrag hoort op daardie lys, want opsomming genereer baie pakkette in ’n kort venster. ’n Deurgang wat die eerste pogings antwoord en dan stil word, beskryf sy anti-DoS-beleid eerder as sy voorstelstel.

Stap 5: noteer wat jy bewys het

Skryf die aanvaarde kombinasie langs die vastewareweergawe, en vergelyk dit dan met die transformasies wat die kliënte wat vir jou saak maak, standaard aanbied. Die gaping tussen daardie twee lyste is die opstelprobleem, en die skandering het dit net sigbaar gemaak. Indien die enigste aanvaarde voorstels dié is wat jy nie sou kees nie, hoort die regstelling in die deurgangbeleid of in ’n kliëntprofiel, nooit in die proef nie.

’n Proef wat nooit geantwoord het nie, het steeds iets beantwoord: dit toon watter voorstels hierdie toestel bereid is om te bespreek, en watter dit liever op die vloer laat val.