Το ike-scan δεν λαμβάνει απάντηση από μια λειτουργική πύλη IPsec

Η πύλη εξυπηρετεί τηλέφωνα και φορητούς υπολογιστές καθημερινά, κι όμως το ike-scan αναφέρει ότι δεν απάντησε κανένας host. Αυτή η έξοδος μοιάζει με απόδειξη ότι το IPsec λείπει από τη συσκευή. Συνήθως σημαίνει ότι η συσκευή απέρριψε κάθε πρόταση στον έλεγχο και επέλεξε να μην απαντήσει τίποτα. Η σιωπή είναι απάντηση και είναι η λιγότερο κατατοπιστική που μπορεί να σας δώσει το εργαλείο.

Δουλέψτε τρία ξεχωριστά ερωτήματα: έφτασε το πακέτο, ταίριαξε κάποια πρόταση και απέρριψε κάτι άλλο τον ομότιμο;

Βήμα 1: διαβάστε την πρόταση που στέλνει το εργαλείο

Η κύρια λειτουργία αρχίζει με ωφέλιμο φορτίο SA που απαριθμεί τους μετασχηματισμούς που θα δεχτεί ο εκκινητής, και το ike-scan γεμίζει αυτή τη λίστα από ένα μεταγλωττισμένο προεπιλεγμένο σύνολο. Το προεπιλεγμένο σύνολο είναι σκόπιμα παλιό: DES και 3DES για κρυπτογράφηση, MD5 και SHA1 για κατακερματισμό, ομάδες 1 και 2 για την ανταλλαγή κλειδιών, προκοινόμενα κλειδιά για έλεγχο ταυτότητας. Χωρίς AES, χωρίς SHA-2, χωρίς ομάδα 14. Μια πύλη ρυθμισμένη για AES-256 με SHA-256 και modp2048 δεν μοιράζεται τίποτα μαζί του.

Μερικές υλοποιήσεις απαντούν σε έναν μη ταιριαστό έλεγχο με μια ειδοποίηση NO-PROPOSAL-CHOSEN. Άλλες απλώς τον απορρίπτουν, κάτι σύνηθες σε συσκευές που αντιμετωπίζουν άγνωστους ομοτίμους ως θόρυβο. Όπως και να έχει, η σάρωση δεν τυπώνει τίποτα, και αυτό το τίποτα είναι ίδιο με το πώς φαίνεται από έξω ένα φιλτραρισμένο UDP 500, όπως η τεκμηρίωση του έργου ike-scan το καθιστά σαφές για το προεπιλεγμένο σύνολο.

Βήμα 2: προσφέρετε μία σύγχρονη πρόταση

Αντικαταστήστε το προεπιλεγμένο σύνολο με --trans. Η μορφή γνωρισμάτων παίρνει τους αριθμούς γνωρισμάτων IKE απευθείας: 1 για κρυπτογράφηση, 2 για κατακερματισμό, 3 για έλεγχο ταυτότητας, 4 για την ομάδα και 14 για μήκος κλειδιού όταν ο αλγόριθμος παίρνει ένα. Το αποτέλεσμα είναι μια γραμμή που μπορείτε να διαβάσετε δυνατά σε μια ανασκόπηση αλλαγής.

Η μορφή θέσης φέρει τις ίδιες τιμές με σειρά και αποφεύγει τις αγκύλες, κάτι που μετράει όταν η εντολή περνά από ένα κέλυφος.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Μία πρόταση ανά πακέτο είναι αργή όταν απαριθμείτε, οπότε διατρέξτε τις πιθανές τιμές: κρυπτογράφηση 5, 7/128, 7/192, 7/256· κατακερματισμός 1, 2, 5, 6, 7· ομάδες 1, 2, 5, 14, 15, 19, 20, 21· έλεγχος ταυτότητας 1 για προκοινόμενο κλειδί και 3 για υπογραφές RSA. Εκτυπώστε κάθε εντολή πριν την εκτελέσετε, ώστε το αρχείο να δείχνει τι προσφέρθηκε και με ποια σειρά.

Βήμα 3: ερμηνεύστε μια απάντηση

Μια απάντηση αποδεικνύει ακριβώς δύο πράγματα: ότι ένας αποκρινόμενος IKE είναι προσβάσιμος σε εκείνη τη διεύθυνση και ότι μία προσφερόμενη πρόταση ήταν αποδεκτή. Δεν λέει τίποτα για το προκοινόμενο κλειδί, το επίπεδο L2TP ή το αν υπάρχει λογαριασμός χρήστη. Μια επιτυχημένη σάρωση είναι απολύτως συμβατή με την αποτυχία κάθε επόμενου σταδίου.

Σε μια πύλη που διαχειρίζεστε, αυτό είναι το πραγματικά χρήσιμο μέρος. Η σάρωση σας λέει ποιες προτάσεις δέχεται ακόμη η συσκευή, και ένα αποτέλεσμα περιορισμένο σε παλιούς μετασχηματισμούς είναι εύρημα για την πολιτική της συσκευής, όχι λόγος να αποδυναμώσετε τον πελάτη.

Βήμα 4: ερμηνεύστε τη σιωπή

Η σιωπή είναι ασθενέστερη απόδειξη απ’ ό,τι φαίνεται. Κάθε πρόταση μπορεί να απορρίφθηκε, το UDP 500 και το 4500 μπορεί να φιλτράρονται, η πηγή μπορεί να περιορίζεται σε ρυθμό μετά από ριπή, ή η υπηρεσία μπορεί να ακούει σε άλλη διεύθυνση από αυτή που σαρώσατε. Συγκρίνετε το αρχείο IKE της πύλης με έναν πελάτη που ήδη συνδέεται με έγκυρα διαπιστευτήρια πριν συμπεράνετε οτιδήποτε για το μηχάνημα.

Η συμπεριφορά ριπής ανήκει σε αυτή τη λίστα, γιατί η απαρίθμηση παράγει πολλά πακέτα σε σύντομο παράθυρο. Μια πύλη που απαντά στις πρώτες προσπάθειες και μετά σωπαίνει περιγράφει την πολιτική της κατά DoS, όχι το σύνολο προτάσεών της.

Βήμα 5: καταγράψτε τι αποδείξατε

Γράψτε τον αποδεκτό συνδυασμό δίπλα στην έκδοση υλικολογισμικού και μετά συγκρίνετέ τον με τους μετασχηματισμούς που προσφέρουν εξ ορισμού οι πελάτες που σας ενδιαφέρουν. Το χάσμα ανάμεσα σε αυτές τις δύο λίστες είναι το πρόβλημα διαμόρφωσης, και η σάρωση απλώς το έκανε ορατό. Αν οι μόνες αποδεκτές προτάσεις είναι εκείνες που δεν θα επιλέγατε, η διόρθωση ανήκει στην πολιτική της πύλης ή σε προφίλ πελάτη, ποτέ στον έλεγχο.

Ένας έλεγχος που δεν απάντησε ποτέ έχει απαντήσει κάτι: δείχνει ποιες προτάσεις είναι πρόθυμη να συζητήσει αυτή η συσκευή και ποιες θα προτιμούσε να αφήσει να πέσουν στο πάτωμα.