ike-scan ei saa vastust töötavalt IPsec-lüüsilt

Lüüs teenindab iga päev telefone ja sülearvuteid, ent ike-scan teatab, et ükski host ei vastanud. See väljund näeb välja nagu tõestus, et seadmes puudub IPsec. Tavaliselt tähendab see, et seade heitis kõik sondi pakkumised kõrvale ja otsustas mitte midagi vastata. Vaikus on vastus ja see on kõige vähem informatiivne vastus, mille tööriist teile anda saab.

Töötage läbi kolm eraldi küsimust: kas pakett jõudis kohale, kas mõni pakkumine klappis ja kas midagi muud keeldus partnerist?

Samm 1: lugege pakkumist, mille tööriist saadab

Põhirežiim algab SA kandamiga, mis loetleb transformatsioonid, mida algataja aktsepteerib, ja ike-scan täidab selle loendi kompileeritud vaikeväärtusest. Vaikekomplekt on meelega vana: DES ja 3DES krüpteerimiseks, MD5 ja SHA1 räsimiseks, grupid 1 ja 2 võtmevahetuseks, eelnevalt jagatud võtmed autentimiseks. Ei AES-i, ei SHA-2, ei gruppi 14. Lüüs, mis on seadistatud AES-256 jaoks koos SHA-256 ja modp2048-ga, ei jaga sellega midagi.

Mõned implementatsioonid vastavad mitteklappivale sondile teatega NO-PROPOSAL-CHOSEN. Teised lihtsalt viskavad selle ära, mis on tavaline seadmetes, mis kohtlevad tundmatuid partnereid mürana. Igal juhul ei trüki skaneerimine midagi ja see mitte miski on identne sellega, kuidas filtreeritud UDP 500 väljastpoolt paistab, nagu ike-scan projekti dokumentatsioon seda vaikekomplekti kohta selgelt näitab.

Samm 2: pakkuge üks kaasaegne pakkumine

Asendage vaikekomplekt valikuga --trans. Atribuudivorm võtab IKE atribuutide numbrid otse: 1 krüpteerimiseks, 2 räsimiseks, 3 autentimiseks, 4 grupi jaoks ja 14 võtme pikkuse jaoks, kui algoritm seda võtab. Väljundiks on rida, mida saate muudatuse ülevaates valjusti ette lugeda.

Positsiooniline vorm kannab samu väärtusi järjekorras ja väldib sulgusid, mis loeb siis, kui käsk läbib kesta.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Üks pakkumine paki kohta on loendamisel aeglane, seega käige läbi tõenäolised väärtused: krüpteerimine 5, 7/128, 7/192, 7/256; räsi 1, 2, 5, 6, 7; grupid 1, 2, 5, 14, 15, 19, 20, 21; autentimine 1 eelnevalt jagatud võtme jaoks ja 3 RSA allkirjade jaoks. Trükkige iga käsk enne käivitamist, et protokoll näitaks, mida ja mis järjekorras pakuti.

Samm 3: tõlgendage vastust

Vastus tõestab täpselt kahte asja: IKE vastaja on sellel aadressil kättesaadav ja üks pakutud pakkumine oli vastuvõetav. See ei ütle midagi eelnevalt jagatud võtme, L2TP kihi ega kasutajakonto olemasolu kohta. Edukas skaneerimine on täiesti kooskõlas sellega, et iga järgmine etapp ebaõnnestub.

Lüüsil, mida haldates, on see tõeliselt kasulik osa. Skaneerimine ütleb teile, milliseid pakkumisi seade veel aktsepteerib, ja vanadele transformatsioonidele piiratud tulemus on leid seadme poliitika kohta, mitte põhjus klienti nõrgendada.

Samm 4: tõlgendage vaikust

Vaikus on nõrgem tõestus, kui paistab. Iga pakkumine võis tagasi lükatud saada, UDP 500 ja 4500 võivad olla filtreeritud, allikas võib pärast purset olla kiirusega piiratud või teenus võib kuulata teisel aadressil kui see, mida skaneerisite. Enne kui midagi kasti kohta järeldate, võrrelge lüüsi IKE-logi kliendiga, mis juba ühendub kehtivate volitustega.

Purskeline käitumine kuulub sellesse loendisse, sest loendamine tekitab lühikese akna jooksul palju pakette. Lüüs, mis vastab esimestele katsetele ja jääb siis vait, kirjeldab oma anti-DoS poliitikat, mitte pakkumiste komplekti.

Samm 5: kirjutage üles, mida tõestasite

Kirjutage aktsepteeritud kombinatsioon püsivara versiooni kõrvale ja võrrelge seda siis transformatsioonidega, mida teile olulised kliendid vaikimisi pakuvad. Nende kahe loendi vahe on seadistusprobleem ja skaneerimine tegi selle ainult nähtavaks. Kui ainsad aktsepteeritud pakkumised on need, mida te ei valiks, kuulub parandus lüüsi poliitikasse või kliendiprofiili, mitte kunagi sondi.

Sond, mis ei vastanud kunagi, on ikkagi midagi vastanud: see näitab, milliseid pakkumisi see seade on valmis arutama ja millised laseb ta parema meelega põrandale kukkuda.