ike-scan krijt gjin antwurd fan in wurkjende IPsec-poarte

De poarte betsjinnet alle dagen telefoans en laptops, en dochs meldt ike-scan dat gjin hosts antwurden. Dy útfier liket in bewiis dat IPsec op it apparaat ûntbrekt. Meastentiids betsjut it dat it apparaat elk foarstel yn ’e probe wegere en keas om neat te antwurdzjen. Stilte is in antwurd, en it is it minst ynformative dat it ark jo jaan kin.

Wurkje trije aparte fragen ôf: kaam it pakket oan, paste in foarstel, en wegere iets oars de peer?

Stap 1: lês it foarstel dat it ark stjoert

Haadmodus begjint mei in SA-lading dy't de transformaasjes listet dy't de inisjatyfnimmer akseptearje sil, en ike-scan follet dy list út in kompilearre standert. De standertset is mei opsetsin âld: DES en 3DES foar fersifering, MD5 en SHA1 foar hashing, groepen 1 en 2 foar de kaaiútwikseling, foarôf dielde kaaien foar autentikaasje. Gjin AES, gjin SHA-2, gjin groep 14. In poarte dy't konfigurearre is foar AES-256 mei SHA-256 en modp2048 dielt neat dêrmei.

Guon ymplemintaasjes antwurdzje op in net-passende probe mei in NO-PROPOSAL-CHOSEN-melding. Oaren smite it gewoan fuort, wat gewoan is by apparaten dy't unbekende peers as lûd behannelje. Hoe dan ek, de scan prints neat, en dat neat is identyk oan hoe't in filtere UDP 500 fan bûten liket, sa't de dokumintaasje fan it ike-scan-projekt it dúdlik makket oer de standertset.

Stap 2: bied ien modern foarstel oan

Ferfang de standertset troch --trans. De attribútfoarm nimt IKE-attribútnûmers direkt: 1 foar fersifering, 2 foar hash, 3 foar autentikaasje, 4 foar de groep, en 14 foar kaailange as it algoritme ien nimt. Wat derút komt is in rigel dy't jo yn in feroaringsresinsje lûdop lêze kinne.

De posysjefoarm draacht deselde wearden yn oarder en mijt heakjes, wat telt as it kommando troch in shell giet.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Ien foarstel per pakket is stadich as jo opsomme, dus rin de wierskynlike wearden troch: fersifering 5, 7/128, 7/192, 7/256; hash 1, 2, 5, 6, 7; groepen 1, 2, 5, 14, 15, 19, 20, 21; autentikaasje 1 foar in foarôf dielde kaai en 3 foar RSA-handtekens. Print elk kommando foar't jo it útfiere, sadat it transkript sjen lit wat oanbean waard en yn hokker oarder.

Stap 3: ynterpretearje in antwurd

In antwurd bewiist krekt twa dingen: in IKE-antwurder is berikber op dat adres, en ien oanbean foarstel wie akseptabel. It seit neat oer de foarôf dielde kaai, de L2TP-laach of oft der in brûkersaccount bestiet. In suksesfolle scan is folslein ferienichber mei it mislearjen fan elke folgjende stap.

Op in poarte dy't jo beheare, is dit it echt nuttige part. De scan fertelt jo hokker foarstellen it apparaat noch akseptearret, en in resultaat dat beheind is ta âlde transformaasjes is in befinings oer apparaatbelied, net in reden om de klient te ferswakjen.

Stap 4: ynterpretearje stilte

Stilte is swakker bewiis as it liket. Elk foarstel kin wegere wêze, UDP 500 en 4500 kinne filtere wêze, de boarne kin nei in raazje beheind wêze yn snelheid, of de tsjinst kin op in oar adres harkje as dat jo scanden. Fergelykje it IKE-log fan ’e poarte mei in klient dy't al ferbynt mei jildige credentials, foardat jo eat oer de doaze konkludearje.

Raazjgedrach heart op dy list, om't opsomming in soad pakketten yn in koart finster generearret. In poarte dy't de earste besykjen beantwurdet en dan stil wurdt, beskriuwt syn anty-DoS-belied ynstee fan syn foarstellingset.

Stap 5: skriuw op wat jo bewiisd hawwe

Skriuw de akseptearre kombinaasje njonken de firmwareferzje, en fergelykje it dan mei de transformaasjes dy't de klinten dy't jo wichtich fine standert oanbiede. It gat tusken dy twa listen is it konfiguraasjeprobleem, en de scan makke it allinich sichtber. As de iennige akseptearre foarstellen dy binne dy't jo net kieze soene, heart de repaaraasje yn it poartebelied of yn in klintprofyl, nea yn ’e probe.

In probe dy't nea antwurde hat dochs eat antwurde: it lit sjen hokker foarstellen dit apparaat ree is te bepraten, en hokker it leaver op 'e flier falle lit.