ike-scanek ez du erantzunik jasotzen ari den IPsec atebide batetik

Atebideak telefonoak eta eramangarriak zerbitzatzen ditu egunero, hala ere ike-scanek dio ez duela ostalaririk erantzun. Irteera horrek IPsec gailuan falta dela frogatzeko itxura du. Normalean gailuak zundaketaren proposamen guztiak baztertu eta ezer ez erantzutea aukeratu duela esan nahi du. Isiltasuna erantzuna da, eta tresnak eman diezazukeen erantzunik gutxien informatzen duena da.

Landu hiru galdera bereizi: paketea heldu zen, proposamenen batek bat egin zuen, eta beste zerbaitek uko egin zion kideari?

Urratsa 1: irakurri tresnak bidaltzen duen proposamena

Modu nagusia SA karga batekin hasten da, ekimenduak onartuko dituen transformazioak zerrendatzen dituena, eta ike-scanek zerrenda hori konpilatutako lehenetsitik betetzen du. Lehenetsitako multzoa nahita zaharra da: DES eta 3DES zifratzeko, MD5 eta SHA1 hash egiteko, 1 eta 2 taldeak gako-trukerako, aldez aurretik partekatutako gakoak autentifikaziorako. AESik ez, SHA-2rik ez, 14 talderik ez. AES-256, SHA-256 eta modp2048rako konfiguratutako atebideak ez du harekin ezer partekatzen.

Inplementazio batzuek bat ez datorren zundaketa bati NO-PROPOSAL-CHOSEN jakinarazpenarekin erantzuten diote. Beste batzuek besterik gabe botatzen dute, kide ezezagunak zarata balira bezala tratatzen dituzten gailuetan ohikoa dena. Edonola ere, eskaneatzeak ez du ezer inprimatzen, eta ezer-ez hori berdin-berdina da UDP 500 iragazia kanpotik nola ikusten den, ike-scan proiektuaren dokumentazioak lehenetsitako multzoari buruz argi uzten duen bezala.

Urratsa 2: eskaini proposamen moderno bat

Ordezka ezazu lehenetsitako multzoa --trans aukerarekin. Atributu-formak IKE atributu-zenbakiak zuzenean hartzen ditu: 1 zifratzeko, 2 hasheko, 3 autentifikaziorako, 4 talderako eta 14 gako-luzerarako algoritmoak bat onartzen duenean. Ateratzen dena aldaketa-berrikuspen batean ozen irakur dezakezun lerro bat da.

Posizio-formak balio berak eramaten ditu ordenan eta parentesiak saihesten ditu, komandoa oskol batetik pasatzen denean garrantzitsua dena.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Proposamen bat paketeko motela da zerrendatzean, beraz joan balio sinesgarrietan zehar: zifratzea 5, 7/128, 7/192, 7/256; hasha 1, 2, 5, 6, 7; taldeak 1, 2, 5, 14, 15, 19, 20, 21; autentifikazioa 1 aldez aurretik partekatutako gako baterako eta 3 RSA sinaduretako. Inprimatu komando bakoitza exekutatu aurretik, transkripzioak zer eta zein ordenatan eskaini zen erakuts dezan.

Urratsa 3: interpretatu erantzun bat

Erantzun batek zehazki bi gauza frogatzen ditu: IKE erantzule bat iristeko modukoa dela helbide horretan, eta eskainitako proposamen bat onargarria zela. Ez du ezer esaten aldez aurretik partekatutako gakoaz, L2TP geruzaaz edo erabiltzaile-kontu bat badagoen. Eskaneatze arrakastatsua erabat bateragarria da ondorengo etapa guztiek huts egitearekin.

Zuk kudeatzen duzun atebide batean, hau da benetan zati erabilgarria. Eskaneatzeak esaten dizu zein proposamen onartzen dituen oraindik gailuak, eta transformazio zaharretara mugatutako emaitza gailuaren politikari buruzko aurkikuntza da, ez bezeroa ahultzeko arrazoia.

Urratsa 4: interpretatu isiltasuna

Isiltasuna dirudiena baino froga ahulagoa da. Proposamen bakoitza baztertua izan daiteke, UDP 500 eta 4500 iragaziak egon daitezke, iturria leherketa baten ondoren abiaduraz mugatua egon daiteke, edo zerbitzuak eskaneatu duzun helbidetik ezberdina den helbide batean entzun dezake. Konpara ezazu atebidearen IKE erregistroa lehendik kredentzial baliodunekin konektatzen den bezero batekin, kutxari buruz ezer ondorioztatu aurretik.

Leherketa-jokabideak zerrenda horretan du tokia, zerrendatzeak leiho labur batean pakete asko sortzen baititu. Lehen saiakerak erantzun eta gero isiltzen den atebide batek bere anti-DoS politika deskribatzen ari da, ez bere proposamen-multzoa.

Urratsa 5: erregistratu zer frogatu duzun

Idatz ezazu onartutako konbinazioa firmware bertsioaren ondoan, eta gero aldera ezazu axola zaizkizun bezeroek lehenespenez eskaintzen dituzten transformazioekin. Bi zerrenda horien arteko aldea konfigurazio-arazoa da, eta eskaneatzeak ikusgai egin zuen soilik. Onartutako proposamen bakarrak aukeratuko ez zenituzkeenak badira, konponketa atebidearen politikan edo bezero-profil batean dagokio, inoiz ez zundaketan.

Inoiz erantzun ez duen zunda batek zerbait erantzun du oraindik: gailu hau zein proposamen eztabaidatzeko prest dagoen eta zeintzuk lurrean botata uztea nahiago duen erakusten du.