ike-scan ne dobija odgovor od ispravnog IPsec pristupnika

Pristupnik svakodnevno opslužuje telefone i prijenosnike, a ipak ike-scan javlja da nijedan host nije odgovorio. Taj izlaz izgleda kao dokaz da IPsec nedostaje na uređaju. Obično to znači da je uređaj odbacio svaki predlog u sondi i odlučio ne odgovoriti ništa. Tišina je odgovor i ona je najmanje informativan odgovor koji vam alat može dati.

Prođite kroz tri odvojena pitanja: je li paket stigao, je li se poklopio koji predlog i je li nešto drugo odbilo partnera?

Korak 1: pročitajte predlog koji alat šalje

Glavni način počinje SA korisnim teretom koji navodi transformacije koje će inicijator prihvatiti, a ike-scan popunjava taj spisak iz kompajliranog zadanog skupa. Zadani skup namjerno je star: DES i 3DES za šifriranje, MD5 i SHA1 za heširanje, grupe 1 i 2 za razmjenu ključeva, unaprijed dijeljeni ključevi za autentifikaciju. Nema AES-a, nema SHA-2, nema grupe 14. Pristupnik konfiguriran za AES-256 sa SHA-256 i modp2048 ne dijeli ništa s njim.

Neke implementacije odgovaraju na neusklađenu sondu obavještenjem NO-PROPOSAL-CHOSEN. Druge je jednostavno odbace, što je uobičajeno na uređajima koji nepoznate partnere tretiraju kao šum. U svakom slučaju skeniranje ne ispisuje ništa, a to ništa identično je onome kako filtrirani UDP 500 izgleda izvana, kao što dokumentacija projekta ike-scan jasno pokazuje za zadani skup.

Korak 2: ponudite jedan moderan predlog

Zamijenite zadani skup s --trans. Atributni oblik preuzima brojeve IKE atributa izravno: 1 za šifriranje, 2 za heš, 3 za autentifikaciju, 4 za grupu i 14 za dužinu ključa kada je algoritam prihvaća. Rezultat je redak koji možete pročitati naglas na pregledu promjene.

Pozicijski oblik nosi iste vrijednosti po redu i izbjegava zagrade, što je važno kada naredba prolazi kroz ljusku.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Jedan predlog po paketu spor je pri nabrajanju, pa prođite kroz vjerojatne vrijednosti: šifriranje 5, 7/128, 7/192, 7/256; heš 1, 2, 5, 6, 7; grupe 1, 2, 5, 14, 15, 19, 20, 21; autentifikacija 1 za unaprijed dijeljeni ključ i 3 za RSA potpise. Ispišite svaku naredbu prije pokretanja kako bi transkript pokazao što je ponuđeno i kojim redom.

Korak 3: protumačite odgovor

Odgovor dokazuje točno dvije stvari: IKE odgovarač dostupan je na toj adresi i jedan ponuđeni predlog bio je prihvatljiv. Ne govori ništa o unaprijed dijeljenom ključu, sloju L2TP ili o tome postoji li korisnički račun. Uspješno skeniranje potpuno je spojivo s neuspjehom svake kasnije faze.

Na pristupniku kojim upravljate, to je doista korisni dio. Skeniranje vam kaže koje predloge uređaj još prihvaća, a rezultat ograničen na zastarjele transformacije nalaz je o politici uređaja, ne razlog da oslabite klijenta.

Korak 4: protumačite tišinu

Tišina je slabiji dokaz nego što izgleda. Svaki predlog možda je odbijen, UDP 500 i 4500 možda su filtrirani, izvor može biti ograničen po brzini nakon rafala, ili usluga može slušati na drugoj adresi od one koju ste skenirali. Usporedite IKE zapisnik pristupnika s klijentom koji se već povezuje s valjanim vjerodajnicama prije nego zaključite bilo što o kutiji.

Ponašanje pri rafalima pripada tom popisu jer nabrajanje stvara mnogo paketa u kratkom prozoru. Pristupnik koji odgovara na prve pokušaje, a zatim utihne, opisuje svoju anti-DoS politiku, a ne svoj skup predloga.

Korak 5: zabilježite što ste dokazali

Zapišite prihvaćenu kombinaciju uz verziju firmvera, pa je usporedite s transformacijama koje klijenti koji vas zanimaju nude prema zadanim postavkama. Razlika između tih dvaju popisa jest problem konfiguracije, a skeniranje ju je samo učinilo vidljivom. Ako su jedini prihvaćeni predlozi oni koje ne biste odabrali, popravak pripada politici pristupnika ili profilu klijenta, nikada sondi.

Sonda koja nikada nije odgovorila ipak je nešto odgovorila: pokazuje koje je predloge ovaj uređaj spreman razmotriti i koje bi radije ispustio na pod.