ike-scan non recibe resposta dunha pasarela IPsec en funcionamento

A pasarela atende teléfonos e portátiles cada día, e aínda así ike-scan informa de que ningún host respondeu. Ese resultado parece a proba de que falta IPsec no dispositivo. Normalmente significa que o dispositivo descartou todas as propostas da sonda e escolleu non responder nada. O silencio é unha resposta, e é a menos informativa que a ferramenta pode darche.

Traballa tres preguntas separadas: chegou o paquete, coincidiu algunha proposta e algo máis rexeitou ao par?

Paso 1: le a proposta que envía a ferramenta

O modo principal comeza cunha carga SA que enumera as transformacións que aceptará o iniciador, e ike-scan enche esa lista desde un conxunto predeterminado compilado. O conxunto predeterminado é deliberadamente antigo: DES e 3DES para o cifrado, MD5 e SHA1 para o resumo, grupos 1 e 2 para o intercambio de claves, claves precompartidas para a autenticación. Sen AES, sen SHA-2, sen grupo 14. Unha pasarela configurada para AES-256 con SHA-256 e modp2048 non comparte nada con iso.

Algunhas implementacións responden a unha sonda que non coincide con unha notificación NO-PROPOSAL-CHOSEN. Outras simplemente a descartan, algo habitual en equipos que tratan os pares descoñecidos como ruído. En calquera caso o escaneo non imprime nada, e esa nada é idéntica ao que parece un UDP 500 filtrado desde fóra, como a documentación do proxecto ike-scan deixa claro sobre o conxunto predeterminado.

Paso 2: ofrece unha proposta moderna

Substitúe o conxunto predeterminado con --trans. A forma de atributos toma os números de atributo IKE directamente: 1 para o cifrado, 2 para o resumo, 3 para a autenticación, 4 para o grupo e 14 para a lonxitude de clave cando o algoritmo acepta unha. O que sae é unha liña que podes ler en voz alta nunha revisión de cambios.

A forma posicional leva os mesmos valores en orde e evita os corchetes, o que importa cando a orde viaxa por un intérprete.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Unha proposta por paquete é lento cando enumeras, así que percorre os valores plausibles: cifrado 5, 7/128, 7/192, 7/256; resumo 1, 2, 5, 6, 7; grupos 1, 2, 5, 14, 15, 19, 20, 21; autenticación 1 para unha clave precompartida e 3 para sinaturas RSA. Imprime cada orde antes de executala para que a transcrición mostre que se ofreceu e en que orde.

Paso 3: interpreta unha resposta

Unha resposta demostra exactamente dúas cousas: hai un respondedor IKE accesible nesa dirección e unha proposta ofrecida era aceptable. Non di nada sobre a clave precompartida, a capa L2TP nin se existe unha conta de usuario. Un escaneo correcto é totalmente compatible co fallo de calquera etapa posterior.

Nunha pasarela que operas, esta é a parte realmente útil. O escaneo diche que propostas segue aceptando o dispositivo, e un resultado limitado a transformacións antigas é un achado sobre a política do dispositivo, non unha razón para debilitar o cliente.

Paso 4: interpreta o silencio

O silencio é unha evidencia máis feble do que parece. Pode que se rexeitase cada proposta, que UDP 500 e 4500 estean filtrados, que a orixe estea limitada en taxa tras unha refaga, ou que o servizo escoite nunha dirección distinta da que escaneaches. Compara o rexistro IKE da pasarela cun cliente que xa conecta con credenciais válidas antes de concluír nada sobre a caixa.

O comportamento de refaga pertence a esa lista porque a enumeración xera moitos paquetes nunha xanela curta. Unha pasarela que responde aos primeiros intentos e despois cala está describindo a súa política anti-DoS, non o seu conxunto de propostas.

Paso 5: rexistra o que demostraches

Escribe a combinación aceptada xunto á versión do firmware e logo compáraa coas transformacións que os clientes que che importan ofrecen por defecto. A fenda entre esas dúas listas é o problema de configuración, e o escaneo só a fixo visible. Se as únicas propostas aceptadas son as que non elixirías, a corrección pertence á política da pasarela ou a un perfil de cliente, nunca á sonda.

Unha sonda que nunca respondeu aínda respondeu algo: mostra que propostas este dispositivo está disposto a discutir e cales preferiría deixar caer ao chan.