ike-scan işlək IPsec şlüzündən cavab almır

Şlüz hər gün telefonlara və noutbuklara xidmət edir, lakin ike-scan heç bir hostun cavab vermədiyini bildirir. Bu çıxış IPsec-in cihazda olmadığını sübut kimi görünür. Adətən bu, cihazın zondakı hər təklifi rədd etdiyini və heç nəyə cavab verməməyi seçdiyini bildirir. Sükut da cavabdır və bu, alətin verə biləcəyi ən az məlumatlı cavabdır.

Üç ayrı sualı işləyin: paket çatdımı, hər hansı təklif uyğun gəldimi və başqa bir şey həmyaşıdı rədd etdimi?

Addım 1: alətin göndərdiyi təklifi oxuyun

Əsas rejim başlatıcının qəbul edəcəyi transformasiyaları sadalayan SA yükü ilə başlayır və ike-scan bu siyahını kompilyasiya olunmuş standartdan doldurur. Standart dəst qəsdən köhnədir: şifrələmə üçün DES və 3DES, heş üçün MD5 və SHA1, açar mübadiləsi üçün 1 və 2 qrupları, autentifikasiya üçün əvvəlcədən paylaşılan açarlar. AES yox, SHA-2 yox, 14-cü qrup yox. AES-256, SHA-256 və modp2048 üçün quraşdırılmış şlüz onunla heç nə paylaşmır.

Bəzi tətbiqlər uyğun olmayan zondaya NO-PROPOSAL-CHOSEN bildirişi ilə cavab verir. Digərləri onu sadəcə atır, bu da naməlum həmyaşıdları səs-küy sayan cihazlarda adi haldır. Hər halda skan heç nə çap etmir və bu heç nə xaricdən filtrlənmiş UDP 500-ün göründüyü ilə tam eynidir, çünki ike-scan layihəsinin sənədləri standart dəst barədə bunu aydın göstərir.

Addım 2: bir müasir təklif təqdim edin

Standart dəsti --trans ilə əvəz edin. Atribut forması IKE atribut nömrələrini birbaşa qəbul edir: şifrələmə üçün 1, heş üçün 2, autentifikasiya üçün 3, qrup üçün 4 və alqoritm uzunluq qəbul edəndə açar uzunluğu üçün 14. Çıxan şey dəyişiklik icmalında ucadan oxuya biləcəyiniz bir sətirdir.

Mövqe forması eyni dəyərləri sıra ilə daşıyır və mötərizələrdən yayınır, bu da əmr qabıqdan keçəndə vacib olur.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Hər paket üçün bir təklif sadalama zamanı yavaşdır, ona görə ağlabatan dəyərlər üzərində dövr edin: şifrələmə 5, 7/128, 7/192, 7/256; heş 1, 2, 5, 6, 7; qruplar 1, 2, 5, 14, 15, 19, 20, 21; əvvəlcədən paylaşılan açar üçün autentifikasiya 1 və RSA imzaları üçün 3. Hər əmri işə salmazdan əvvəl çap edin ki, protokol nəyin və hansı sıra ilə təklif olunduğunu göstərsin.

Addım 3: cavabı şərh edin

Cavab dəqiq iki şeyi sübut edir: həmin ünvanda IKE cavabdehinin əlçatan olduğunu və təklif olunan bir təklifin məqbul olduğunu. Əvvəlcədən paylaşılan açar, L2TP qatı və ya istifadəçi hesabının olub-olmaması barədə heç nə demir. Uğurlu skan hər sonrakı mərhələnin uğursuz olması ilə tam uyğundur.

İdarə etdiyiniz şlüzdə bu, həqiqətən faydalı hissədir. Skan cihazın hansı təklifləri hələ qəbul etdiyini bildirir və köhnə transformasiyalarla məhdud nəticə cihaz siyasəti barədə tapıntıdır, müştərini zəiflətmək üçün səbəb deyil.

Addım 4: sükutu şərh edin

Sükut göründüyündən zəif sübutdur. Hər təklif rədd edilmiş ola bilər, UDP 500 və 4500 filtrlənə bilər, mənbə partlayışdan sonra sürət məhdudiyyətinə düşə bilər və ya xidmət skan etdiyiniz ünvandan başqa ünvanda dinləyə bilər. Qutu barədə nə isə qənaətə gəlməzdən əvvəl şlüzün IKE jurnalını artıq etibarlı kredensiallarla qoşulan müştəri ilə müqayisə edin.

Partlayış davranışı o siyahıya aiddir, çünki sadalama qısa pəncərədə çoxlu paket yaradır. İlk cəhdlərə cavab verib sonra susan şlüz təklif dəstini deyil, anti-DoS siyasətini təsvir edir.

Addım 5: nəyi sübut etdiyinizi qeyd edin

Qəbul edilən kombinasiyanı mikrokod versiyasının yanına yazın, sonra onu maraqlandığınız müştərilərin standart olaraq təklif etdiyi transformasiyalarla müqayisə edin. Bu iki siyahı arasındakı fərq konfiqurasiya problemidir və skan onu yalnız görünən etdi. Əgər yeganə qəbul edilən təkliflər seçməyəcəyiniz təkliflərdirsə, düzəliş şlüz siyasətinə və ya müştəri profilə aiddir, heç vaxt zondaya deyil.

Heç cavab verməyən zond yenə də nəsə cavablandırıb: bu cihazın hansı təklifləri müzakirə etməyə hazır olduğunu və hansıları yerə atmağı üstün tutduğunu göstərir.