ike-scan не получава отговор от работещ IPsec шлюз

Шлюзът обслужва телефони и лаптопи всеки ден, а ike-scan съобщава, че нито един хост не е отговорил. Този изход изглежда като доказателство, че IPsec липсва на устройството. Обикновено това означава, че устройството е отхвърлило всяко предложение в сондата и е избрало да не отговаря с нищо. Тишината е отговор и той е най-малоинформативният, който инструментът може да ви даде.

Разгледайте три отделни въпроса: пристигна ли пакетът, съвпадна ли някое предложение и отказа ли нещо друго партньора?

Стъпка 1: прочетете предложението, което инструментът изпраща

Основният режим започва с SA полезен товар, който изброява трансформациите, които инициаторът ще приеме, и ike-scan попълва този списък от компилиран набор по подразбиране. Наборът по подразбиране е умишлено стар: DES и 3DES за криптиране, MD5 и SHA1 за хеширане, групи 1 и 2 за обмен на ключове, предварително споделени ключове за удостоверяване. Никакъв AES, никакъв SHA-2, никаква група 14. Шлюз, конфигуриран за AES-256 със SHA-256 и modp2048, не споделя нищо с него.

Някои реализации отговарят на несъответстваща сонда с известие NO-PROPOSAL-CHOSEN. Други просто я изхвърлят, което е обичайно при устройства, които третират непознатите партньори като шум. Както и да е, сканирането не отпечатва нищо и това нищо е идентично с това как изглежда филтриран UDP 500 отвън, както документацията на проекта ike-scan ясно показва за набора по подразбиране.

Стъпка 2: предложете едно съвременно предложение

Заменете набора по подразбиране с --trans. Формата с атрибути приема номерата на IKE атрибутите директно: 1 за криптиране, 2 за хеш, 3 за удостоверяване, 4 за групата и 14 за дължина на ключа, когато алгоритъмът приема такава. Резултатът е ред, който можете да прочетете на глас при преглед на промяна.

Позиционната форма носи същите стойности по ред и избягва скоби, което има значение, когато командата минава през обвивка.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Едно предложение на пакет е бавно при изброяване, затова обходете правдоподобните стойности: криптиране 5, 7/128, 7/192, 7/256; хеш 1, 2, 5, 6, 7; групи 1, 2, 5, 14, 15, 19, 20, 21; удостоверяване 1 за предварително споделен ключ и 3 за RSA подписи. Отпечатвайте всяка команда преди да я изпълните, за да показва протоколът какво е предложено и в какъв ред.

Стъпка 3: тълкувайте отговора

Отговорът доказва точно две неща: че IKE ответник е достъпен на този адрес и че едно предложено предложение е било приемливо. Той не казва нищо за предварително споделения ключ, слоя L2TP или дали съществува потребителски акаунт. Успешното сканиране е напълно съвместимо с провала на всеки следващ етап.

На шлюз, който управлявате, това е наистина полезната част. Сканирането ви казва кои предложения устройството все още приема, а резултат, ограничен до остарели трансформации, е констатация за политиката на устройството, а не причина да отслабите клиента.

Стъпка 4: тълкувайте тишината

Тишината е по-слабо доказателство, отколкото изглежда. Всяко предложение може да е било отхвърлено, UDP 500 и 4500 може да са филтрирани, източникът може да е ограничен по скорост след залп, или услугата може да слуша на различен адрес от сканирания. Сравнете IKE журнала на шлюза с клиент, който вече се свързва с валидни идентификационни данни, преди да заключите нещо за машината.

Поведението при залпове принадлежи към този списък, защото изброяването генерира много пакети в кратък прозорец. Шлюз, който отговаря на първите опити и после замлъква, описва политиката си срещу DoS, а не набора си от предложения.

Стъпка 5: запишете какво доказахте

Запишете приетата комбинация до версията на фърмуера, после я сравнете с трансформациите, които клиентите, които ви интересуват, предлагат по подразбиране. Разликата между тези два списъка е проблемът с конфигурацията и сканирането само я направи видима. Ако единствените приети предложения са такива, които не бихте избрали, поправката принадлежи на политиката на шлюза или на клиентски профил, никога на сондата.

Сонда, която никога не е отговорила, все пак е отговорила нещо: тя показва кои предложения това устройство е готово да обсъжда и кои би предпочело да изпусне на пода.