Az ike-scan nem kap választ egy működő IPsec-átjárótól

Az átjáró mindennap kiszolgál telefonokat és laptopokat, az ike-scan mégis azt jelenti, hogy egyetlen gazdagép sem válaszolt. Ez a kimenet a bizonyíték látszatát kelti, hogy az eszközön nincs IPsec. Általában azt jelenti, hogy az eszköz a szondában minden javaslatot elvetett, és úgy döntött, semmire nem válaszol. A csend is válasz, és ez a legkevésbé informatív válasz, amit az eszköz adhat.

Járjon végig három külön kérdést: megérkezett-e a csomag, egyezett-e valamelyik javaslat, és valami más visszautasította-e a partnert?

Lépés 1: olvassa el az eszköz által küldött javaslatot

A fő mód egy SA hasznos teherrel kezdődik, amely felsorolja a kezdeményező által elfogadott transzformációkat, és az ike-scan ezt a listát egy lefordított alapértelmezésből tölti ki. Az alapértelmezett készlet szándékosan régi: DES és 3DES a titkosításhoz, MD5 és SHA1 a kivonatoláshoz, az 1-es és 2-es csoport a kulcscseréhez, előre megosztott kulcsok a hitelesítéshez. Nincs AES, nincs SHA-2, nincs 14-es csoport. Az AES-256-hoz SHA-256-tal és modp2048-cal beállított átjáró semmit nem oszt meg vele.

Egyes implementációk a nem egyező szondára NO-PROPOSAL-CHOSEN értesítéssel válaszolnak. Mások egyszerűen eldobják, ami gyakori az ismeretlen partnereket zajként kezelő készülékeken. Akárhogy is, a szkennelés semmit nem ír ki, és ez a semmi azonos azzal, ahogyan egy szűrt UDP 500 kívülről látszik, ahogy az ike-scan projekt dokumentációja ezt az alapértelmezett készletről világossá teszi.

Lépés 2: ajánljon egy modern javaslatot

Cserélje le az alapértelmezett készletet a --trans kapcsolóra. Az attribútumforma közvetlenül veszi az IKE attribútumszámokat: 1 a titkosításhoz, 2 a kivonathoz, 3 a hitelesítéshez, 4 a csoporthoz, és 14 a kulcshosszhoz, amikor az algoritmus fogad egyet. Ami kijön, az egy sor, amelyet felolvashat egy változásfelülvizsgálaton.

A pozíciós forma ugyanazokat az értékeket viszi sorrendben, és elkerüli a zárójeleket, ami számít, amikor a parancs egy shellen halad át.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Csomagonként egy javaslat lassú felsoroláskor, ezért menjen végig a valószínű értékeken: titkosítás 5, 7/128, 7/192, 7/256; kivonat 1, 2, 5, 6, 7; csoportok 1, 2, 5, 14, 15, 19, 20, 21; hitelesítés 1 az előre megosztott kulcshoz és 3 az RSA-aláírásokhoz. Nyomtassa ki minden parancsot futtatás előtt, hogy az átirat mutassa, mit és milyen sorrendben ajánlott fel.

Lépés 3: értelmezze a választ

Egy válasz pontosan két dolgot bizonyít: egy IKE-válaszadó elérhető azon a címen, és egy felajánlott javaslat elfogadható volt. Semmit nem mond az előre megosztott kulcsról, az L2TP rétegről vagy arról, hogy létezik-e felhasználói fiók. A sikeres szkennelés teljesen összeegyeztethető azzal, hogy minden későbbi szakasz meghiúsul.

Egy általa üzemeltetett átjárón ez az igazán hasznos rész. A szkennelés megmondja, mely javaslatokat fogad még el az eszköz, és a régi transzformációkra korlátozott eredmény az eszköz szabályzatára vonatkozó megállapítás, nem ok a kliens gyengítésére.

Lépés 4: értelmezze a csendet

A csend gyengébb bizonyíték, mint amilyennek látszik. Lehet, hogy minden javaslatot elutasítottak, az UDP 500 és 4500 szűrve lehet, a forrás egy sorozat után sebességkorlátozott lehet, vagy a szolgáltatás más címen figyel, mint amelyet szkennelt. Hasonlítsa össze az átjáró IKE-naplóját egy olyan klienssel, amely már érvényes hitelesítő adatokkal csatlakozik, mielőtt bármit megállapítana a dobozról.

A sorozatviselkedés azért tartozik ehhez a listához, mert a felsorolás sok csomagot generál rövid időablakban. Az az átjáró, amely az első kísérletekre válaszol, majd elhallgat, az anti-DoS szabályzatát írja le, nem a javaslatkészletét.

Lépés 5: rögzítse, mit bizonyított

Írja fel az elfogadott kombinációt a firmware-verzió mellé, majd hasonlítsa össze azokkal a transzformációkkal, amelyeket az Ön számára fontos kliensek alapértelmezésben kínálnak. A két lista közötti különbség a konfigurációs probléma, és a szkennelés csak láthatóvá tette. Ha az egyetlen elfogadott javaslat olyan, amelyet nem választana, a javítás az átjáró szabályzatába vagy egy kliensprofilba tartozik, soha nem a szondába.

Egy szonda, amely soha nem válaszolt, mégis válaszolt valamit: megmutatja, mely javaslatokról hajlandó ez az eszköz beszélni, és melyeket engedne inkább a padlóra esni.