ike-scan-ը պատասխան չի ստանում աշխատող IPsec դարպասից

Դարպասը ամեն օր սպասարկում է հեռախոսներ և նոթբուքեր, այնուամենայնիվ ike-scan-ը հաղորդում է, որ ոչ մի հոսթ չպատասխանեց։ Այդ ելքը նման է ապացույցի, որ սարքում IPsec չկա։ Սովորաբար դա նշանակում է, որ սարքը մերժել է ստուգման բոլոր առաջարկները և ընտրել ոչինչ չպատասխանել։ Լռությունը նույնպես պատասխան է, և դա ամենափոքր տեղեկատվություն տվող պատասխանն է, որ գործիքը կարող է տալ ձեզ։

Աշխատեք երեք առանձին հարցերով՝ արդյոք փաթեթը հասավ, արդյոք որևէ առաջարկ համընկավ, և արդյոք այլ բան մերժեց գործընկերոջը։

Քայլ 1՝ կարդացեք գործիքի ուղարկած առաջարկը

Հիմնական ռեժիմը սկսվում է SA ծանրաբեռնվածությամբ, որը թվարկում է այն ձևափոխությունները, որոնք նախաձեռնողը կընդունի, և ike-scan-ը լրացնում է այդ ցանկը կոմպիլացված լռելյայնից։ Լռելյայն հավաքածուն դիտավորյալ հին է՝ DES և 3DES գաղտնագրման համար, MD5 և SHA1 հեշավորման համար, 1 և 2 խմբերը բանալիների փոխանակման համար, նախապես համօգտագործված բանալիներ նույնականացման համար։ Ոչ AES, ոչ SHA-2, ոչ 14-րդ խումբ։ AES-256-ի համար SHA-256-ով և modp2048-ով կարգավորված դարպասը ոչինչ չի կիսում դրա հետ։

Որոշ իրականացումներ անհամապատասխան ստուգմանը պատասխանում են NO-PROPOSAL-CHOSEN ծանուցմամբ։ Մյուսները պարզապես գցում են այն, ինչը սովորական է անհայտ գործընկերներին որպես աղմուկ դիտարկող սարքերում։ Ամեն դեպքում սկանավորումը ոչինչ չի տպում, և այդ ոչինչը նույնական է այն բանին, թե ինչպես է զտված UDP 500-ը դրսից երևում, ինչպես որ ike-scan նախագծի փաստաթղթերը պարզաբանում են լռելյայն հավաքածուի մասին։

Քայլ 2՝ առաջարկեք մեկ ժամանակակից առաջարկ

Փոխարինեք լռելյայն հավաքածուն --trans-ով։ Հատկանիշային ձևը վերցնում է IKE հատկանիշների համարները ուղղակիորեն՝ 1 գաղտնագրման համար, 2 հեշի համար, 3 նույնականացման համար, 4 խմբի համար, և 14 բանալու երկարության համար, երբ ալգորիթմը մեկն է վերցնում։ Արդյունքը տող է, որը կարող եք բարձրաձայն կարդալ փոփոխության վերանայման ժամանակ։

Դիրքային ձևը նույն արժեքները տանում է հերթականությամբ և խուսափում փակագծերից, ինչը կարևոր է, երբ հրամանն անցնում է shell-ով։

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Մեկ առաջարկ մեկ փաթեթի համար դանդաղ է թվարկելիս, ուստի անցեք հավանական արժեքներով՝ գաղտնագրում 5, 7/128, 7/192, 7/256; հեշ 1, 2, 5, 6, 7; խմբեր 1, 2, 5, 14, 15, 19, 20, 21; նույնականացում 1 նախապես համօգտագործված բանալու համար և 3 RSA ստորագրությունների համար։ Տպեք յուրաքանչյուր հրաման նախքան այն գործարկելը, որպեսզի արձանագրությունը ցույց տա, թե ինչ և ինչ հերթականությամբ է առաջարկվել։

Քայլ 3՝ մեկնաբանեք պատասխանը

Պատասխանն ապացուցում է ուղիղ երկու բան՝ IKE պատասխանողը հասանելի է այդ հասցեում, և առաջարկված առաջարկներից մեկը ընդունելի էր։ Այն ոչինչ չի ասում նախապես համօգտագործված բանալու, L2TP շերտի կամ օգտվողի հաշվի գոյության մասին։ Հաջող սկանավորումը լիովին համատեղելի է այն բանի հետ, որ յուրաքանչյուր հաջորդ փուլ ձախողվի։

Ձեր կառավարած դարպասի վրա սա իսկապես օգտակար մասն է։ Սկանավորումը ձեզ ասում է, թե սարքը դեռ որ առաջարկներն է ընդունում, և հին ձևափոխություններով սահմանափակ արդյունքը սարքի քաղաքականության մասին հայտնաբերում է, ոչ թե պատճառ՝ թուլացնելու հաճախորդին։

Քայլ 4՝ մեկնաբանեք լռությունը

Լռությունը ավելի թույլ ապացույց է, քան թվում է։ Գուցե յուրաքանչյուր առաջարկ մերժվել է, UDP 500-ը և 4500-ը զտված են, աղբյուրը պոռթկումից հետո սահմանափակված է արագությամբ, կամ ծառայությունը լսում է այլ հասցեով, քան սկանավորածն է։ Համեմատեք դարպասի IKE մատյանը հաճախորդի հետ, որն արդեն միանում է վավեր հավատարմագրերով, նախքան տուփի մասին որևէ եզրակացություն անելը։

Պոռթկումային վարքագիծը պատկանում է այդ ցանկին, որովհետև թվարկումը կարճ պատուհանում շատ փաթեթներ է առաջացնում։ Դարպասը, որը պատասխանում է առաջին փորձերին, ապա լռում, նկարագրում է իր հակա-DoS քաղաքականությունը, այլ ոչ թե իր առաջարկների հավաքածուն։

Քայլ 5՝ գրանցեք, ինչ ապացուցեցիք

Գրեք ընդունված համակցությունը որոնվածքի տարբերակի կողքին, ապա համեմատեք այն ձևափոխությունների հետ, որոնք ձեզ համար կարևոր հաճախորդները լռելյայն առաջարկում են։ Այդ երկու ցանկերի միջև եղած բացը կարգավորման խնդիրն է, և սկանավորումը միայն տեսանելի դարձրեց այն։ Եթե միակ ընդունված առաջարկները նրանք են, որոնք դուք չէիք ընտրի, ուղղումը տեղ ունի դարպասի քաղաքականության կամ հաճախորդի պրոֆիլի մեջ, երբեք՝ ստուգման մեջ։

Ստուգումը, որ երբեք չպատասխանեց, այնուամենայնիվ ինչ-որ բան պատասխանեց՝ այն ցույց է տալիս, թե այս սարքը որ առաջարկների մասին պատրաստ է խոսել, և որոնք ավելի շուտ կգցի հատակին։