ike-scan ei saa vastausta toimivalta IPsec-yhdyskäytävältä

Yhdyskäytävä palvelee puhelimia ja kannettavia joka päivä, silti ike-scan ilmoittaa, ettei yksikään isäntä vastannut. Tuo tuloste näyttää todisteelta siitä, että IPsec puuttuu laitteesta. Yleensä se tarkoittaa, että laite hylkäsi jokaisen luotauksen ehdotuksen ja päätti olla vastaamatta mitään. Hiljaisuus on vastaus, ja se on vähiten informatiivinen vastaus, jonka työkalu voi antaa.

Käy läpi kolme erillistä kysymystä: saapuiko paketti, täsmäsikö jokin ehdotus ja kielsikö jokin muu vastapuolen?

Vaihe 1: lue ehdotus, jonka työkalu lähettää

Päämoodi alkaa SA-hyötykuormalla, joka luettelee muunnokset, jotka aloittaja hyväksyy, ja ike-scan täyttää luettelon käännetyistä oletusarvoista. Oletusarvoinen sarja on tarkoituksella vanha: DES ja 3DES salaukseen, MD5 ja SHA1 tiivistykseen, ryhmät 1 ja 2 avainten vaihtoon, ennalta jaetut avaimet todennukseen. Ei AES:ää, ei SHA-2:ta, ei ryhmää 14. Yhdyskäytävä, joka on määritetty AES-256:lle SHA-256:n ja modp2048:n kanssa, ei jaa sen kanssa mitään.

Jotkin toteutukset vastaavat yhteensopimattomaan luotaukseen NO-PROPOSAL-CHOSEN-ilmoituksella. Toiset yksinkertaisesti pudottavat sen, mikä on tavallista laitteissa, jotka kohtelevat tuntemattomia vastapuolia kohinana. Kummassakin tapauksessa skannaus ei tulosta mitään, ja tuo ei-mitään on identtinen sen kanssa, miltä suodatettu UDP 500 näyttää ulkopuolelta, kuten ike-scan-hankkeen dokumentaatio sen oletusarvoisesta sarjasta selvästi kertoo.

Vaihe 2: tarjoa yksi nykyaikainen ehdotus

Korvaa oletusarvoinen sarja valitsimella --trans. Määritemuoto ottaa IKE-määritenumerot suoraan: 1 salaukseen, 2 tiivisteeseen, 3 todennukseen, 4 ryhmään ja 14 avaimen pituuteen, kun algoritmi ottaa sellaisen. Tuloksena on rivi, jonka voit lukea ääneen muutoksen katselmoinnissa.

Paikkamuoto kantaa samat arvot järjestyksessä ja välttää hakasulut, millä on merkitystä, kun komento kulkee kuoren läpi.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Yksi ehdotus pakettia kohden on hidasta lueteltaessa, joten käy läpi todennäköiset arvot: salaus 5, 7/128, 7/192, 7/256; tiiviste 1, 2, 5, 6, 7; ryhmät 1, 2, 5, 14, 15, 19, 20, 21; todennus 1 ennalta jaetulle avaimelle ja 3 RSA-allekirjoituksille. Tulosta jokainen komento ennen sen suorittamista, jotta litterointi näyttää, mitä ja missä järjestyksessä tarjottiin.

Vaihe 3: tulkitse vastaus

Vastaus todistaa täsmälleen kaksi asiaa: IKE-vastaaja on tavoitettavissa tuosta osoitteesta ja yksi tarjottu ehdotus oli hyväksyttävä. Se ei kerro mitään ennalta jaetusta avaimesta, L2TP-kerroksesta tai siitä, onko käyttäjätiliä. Onnistunut skannaus on täysin yhteensopiva sen kanssa, että jokainen myöhempi vaihe epäonnistuu.

Yhdyskäytävällä, jota ylläpidät, tämä on todella hyödyllinen osa. Skannaus kertoo, mitkä ehdotukset laite vielä hyväksyy, ja vanhoihin muunnoksiin rajoittunut tulos on havainto laitteen käytännöstä, ei syy heikentää asiakasta.

Vaihe 4: tulkitse hiljaisuus

Hiljaisuus on heikompi todiste kuin miltä se näyttää. Jokainen ehdotus on voitu hylätä, UDP 500 ja 4500 on voitu suodattaa, lähde on voitu rajoittaa nopeuden mukaan purskeen jälkeen, tai palvelu voi kuunnella muuta osoitetta kuin skannaamaasi. Vertaa yhdyskäytävän IKE-lokia asiakkaaseen, joka jo yhdistää kelvollisilla tunnistetiedoilla, ennen kuin päättelet laatikosta mitään.

Purskekäyttäytyminen kuuluu tuohon luetteloon, koska luettelointi tuottaa paljon paketteja lyhyessä ikkunassa. Yhdyskäytävä, joka vastaa ensimmäisiin yrityksiin ja vaikenee sitten, kuvaa anti-DoS-käytäntöään eikä ehdotussarjaansa.

Vaihe 5: kirjaa, mitä todistit

Kirjoita hyväksytty yhdistelmä laiteohjelmistoversion viereen ja vertaa sitä sitten muunnoksiin, joita sinulle tärkeät asiakkaat tarjoavat oletuksena. Näiden kahden luettelon välinen ero on määritysongelma, ja skannaus teki sen vain näkyväksi. Jos ainoat hyväksytyt ehdotukset ovat sellaisia, joita et valitsisi, korjaus kuuluu yhdyskäytävän käytäntöön tai asiakasprofiiliin, ei koskaan luotaukseen.

Luotaus, joka ei koskaan vastannut, on silti vastannut jotain: se näyttää, mitä ehdotuksia tämä laite on valmis käsittelemään ja mitkä se mieluummin pudottaisi lattialle.