ike-scan nedostává odpověď od funkční brány IPsec

Brána každý den obsluhuje telefony a notebooky, přesto ike-scan hlásí, že neodpověděl žádný hostitel. Tento výstup vypadá jako důkaz, že na zařízení chybí IPsec. Obvykle to znamená, že zařízení zahodilo každou nabídku v sondě a rozhodlo se neodpovídat vůbec. Mlčení je odpověď a je tou nejméně informativní, kterou vám nástroj může dát.

Projděte tři oddělené otázky: dorazil paket, shodla se nějaká nabídka a odmítlo protistranu něco jiného?

Krok 1: přečtěte nabídku, kterou nástroj posílá

Hlavní režim začíná SA užitečným zatížením, které vypisuje transformace, jež iniciátor přijme, a ike-scan tento seznam plní z přeložené výchozí sady. Výchozí sada je záměrně stará: DES a 3DES pro šifrování, MD5 a SHA1 pro hašování, skupiny 1 a 2 pro výměnu klíčů, předem sdílené klíče pro autentizaci. Žádný AES, žádný SHA-2, žádná skupina 14. Brána nakonfigurovaná pro AES-256 se SHA-256 a modp2048 s tím nemá nic společného.

Některé implementace odpovídají na neshodnou sondu oznámením NO-PROPOSAL-CHOSEN. Jiné ji prostě zahodí, což je běžné u zařízení, která neznámé protistrany považují za šum. Ať tak či onak, sken nic nevypíše a to nic je totožné s tím, jak zvenku vypadá filtrovaný UDP 500, jak dokumentace projektu ike-scan jasně ukazuje u výchozí sady.

Krok 2: nabídněte jednu moderní nabídku

Nahraďte výchozí sadu přepínačem --trans. Atributová forma bere čísla atributů IKE přímo: 1 pro šifrování, 2 pro haš, 3 pro autentizaci, 4 pro skupinu a 14 pro délku klíče, když ji algoritmus přijímá. Výsledkem je řádek, který můžete nahlas přečíst při revizi změny.

Poziční forma nese stejné hodnoty v pořadí a vyhýbá se závorkám, což je důležité, když příkaz prochází přes shell.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Jedna nabídka na paket je při výčtu pomalá, proto projděte pravděpodobné hodnoty: šifrování 5, 7/128, 7/192, 7/256; haš 1, 2, 5, 6, 7; skupiny 1, 2, 5, 14, 15, 19, 20, 21; autentizace 1 pro předem sdílený klíč a 3 pro podpisy RSA. Před spuštěním každý příkaz vypište, aby přepis ukázal, co a v jakém pořadí bylo nabídnuto.

Krok 3: interpretujte odpověď

Odpověď dokazuje právě dvě věci: IKE respondér je na této adrese dosažitelný a jedna nabídnutá nabídka byla přijatelná. Nic neříká o předem sdíleném klíči, vrstvě L2TP ani o tom, zda existuje uživatelský účet. Úspěšný sken je zcela slučitelný s tím, že každá další fáze selže.

Na bráně, kterou spravujete, je to skutečně užitečná část. Sken vám řekne, které nabídky zařízení ještě přijímá, a výsledek omezený na zastaralé transformace je zjištění o politice zařízení, ne důvod oslabit klienta.

Krok 4: interpretujte mlčení

Mlčení je slabší důkaz, než vypadá. Každá nabídka mohla být odmítnuta, UDP 500 a 4500 mohou být filtrovány, zdroj může být po dávce omezen rychlostí nebo služba může naslouchat na jiné adrese, než kterou jste skenovali. Než o krabici cokoli uzavřete, porovnejte IKE log brány s klientem, který se už připojuje s platnými pověřeními.

Chování při dávkách do toho seznamu patří, protože výčet generuje mnoho paketů v krátkém okně. Brána, která odpovídá na první pokusy a pak ztichne, popisuje svou politiku proti DoS, ne svou sadu nabídek.

Krok 5: zaznamenejte, co jste dokázali

Zapište přijatou kombinaci vedle verze firmwaru a pak ji porovnejte s transformacemi, které klienti, na kterých vám záleží, nabízejí ve výchozím nastavení. Mezera mezi těmito dvěma seznamy je problém konfigurace a sken ji jen zviditelnil. Pokud jsou jediné přijímané nabídky ty, které byste si nevybrali, oprava patří do politiky brány nebo do profilu klienta, nikdy do sondy.

Sonda, která nikdy neodpověděla, přesto něco odpověděla: ukazuje, o kterých nabídkách je toto zařízení ochotno mluvit a které by raději nechalo spadnout na podlahu.