ike-scan მუშა IPsec გეითვეიდან პასუხს არ იღებს

გეითვეი ყოველდღე ემსახურება ტელეფონებსა და ლეპტოპებს, მაგრამ ike-scan იუწყება, რომ ვერცერთი ჰოსტი არ გამოეხმაურა. ეს გამოტანა ჰგავს მტკიცებას, რომ მოწყობილობას IPsec აკლია. ჩვეულებრივ ეს ნიშნავს, რომ მოწყობილობამ პრობის ყველა წინადადება გადააგდო და არც არაფრის პასუხი აირჩია. დუმილი პასუხია და ეს ის ყველაზე ნაკლებად ინფორმაციული პასუხია, რაც ხელსაწყოს შეუძლია მოგცეს.

გაიარეთ სამი ცალკე კითხვა: ჩავიდა თუ არა პაკეტი, დაემთხვა თუ არა რომელიმე წინადადება და უარყო თუ არა პირი სხვა რამემ?

ნაბიჯი 1: წაიკითხეთ წინადადება, რომელსაც ხელსაწყო აგზავნის

მთავარი რეჟიმი იწყება SA დატვირთვით, რომელიც ჩამოთვლის ტრანსფორმაციებს, რომლებსაც ინიციატორი მიიღებს, და ike-scan ავსებს ამ სიას კომპილირებული ნაგულისხმევიდან. ნაგულისხმევი ნაკრები განზრახ ძველია: DES და 3DES დაშიფვრისთვის, MD5 და SHA1 ჰეშირებისთვის, ჯგუფები 1 და 2 გასაღების გაცვლისთვის, წინასწარ გაზიარებული გასაღებები აუთენტიფიკაციისთვის. არც AES, არც SHA-2, არც ჯგუფი 14. გეითვეი, რომელიც კონფიგურირებულია AES-256-ით, SHA-256-ით და modp2048-ით, მასთან არაფერს იზიარებს.

ზოგიერთი იმპლემენტაცია შეუსაბამო პრობს პასუხობს NO-PROPOSAL-CHOSEN შეტყობინებით. სხვები უბრალოდ ყრიან მას, რაც ჩვეულებრივია მოწყობილობებზე, რომლებიც უცნობ პირებს ხმაურად მიიჩნევენ. ორივე შემთხვევაში სკანირება არაფერს ბეჭდავს და ეს „არაფერი“ იდენტურია იმისა, რასაც გარედან გაფილტრული UDP 500 ჰგავს, როგორც ike-scan-ის პროექტის დოკუმენტაცია განმარტავს ნაგულისხმევი ნაკრების შესახებ.

ნაბიჯი 2: შესთავაზეთ ერთი თანამედროვე წინადადება

შეცვალეთ ნაგულისხმევი ნაკრები --trans-ით. ატრიბუტების ფორმა პირდაპირ იღებს IKE ატრიბუტების ნომრებს: 1 დაშიფვრისთვის, 2 ჰეშისთვის, 3 აუთენტიფიკაციისთვის, 4 ჯგუფისთვის და 14 გასაღების სიგრძისთვის, როცა ალგორითმი იღებს მას. შედეგი არის ხაზი, რომლის ხმამაღლა წაკითხვაც შეგიძლიათ ცვლილებების განხილვაზე.

პოზიციური ფორმა იმავე მნიშვნელობებს ინახავს თანმიმდევრობით და თავს არიდებს ფრჩხილებს, რაც მნიშვნელოვანია, როცა ბრძანება shell-ში გადის.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

პაკეტზე ერთი წინადადება ნელია, როცა ჩამოთვლით, ამიტომ გაიმეორეთ სავარაუდო მნიშვნელობებზე: დაშიფვრა 5, 7/128, 7/192, 7/256; ჰეში 1, 2, 5, 6, 7; ჯგუფები 1, 2, 5, 14, 15, 19, 20, 21; აუთენტიფიკაცია 1 წინასწარ გაზიარებული გასაღებისთვის და 3 RSA ხელმოწერებისთვის. დაბეჭდეთ ყოველი ბრძანება გაშვებამდე, რათა ჩანაწერი აჩვენებდეს, რა შესთავაზეს და რა თანმიმდევრობით.

ნაბიჯი 3: განმარტეთ პასუხი

პასუხი ზუსტად ორ რამეს ამტკიცებს: IKE რესპონდერი ხელმისაწვდომია ამ მისამართზე და ერთი შეთავაზებული წინადადება მისაღები იყო. ის არ ამბობს არაფერს წინასწარ გაზიარებულ გასაღებზე, L2TP ფენაზე ან იმაზე, არსებობს თუ არა მომხმარებლის ანგარიში. წარმატებული სკანირება სრულად თავსებადია ყველა შემდგომი ეტაპის წარუმატებლობასთან.

გეითვეიზე, რომელსაც თქვენ მართავთ, ეს ნამდვილად სასარგებლო ნაწილია. სკანირება გეუბნებათ, რომელ წინადადებებს კვლავ იღებს მოწყობილობა, და ლეგასი ტრანსფორმაციებით შემოფარგლული შედეგი მოწყობილობის პოლიტიკის აღმოჩენაა და არა კლიენტის შესუსტების მიზეზი.

ნაბიჯი 4: განმარტეთ დუმილი

დუმილი უფრო სუსტი მტკიცებაა, ვიდრე ჩანს. შესაძლოა ყველა წინადადება უარყოფილ იქნა, UDP 500 და 4500 გაფილტრულია, წყარო აფეთქების შემდეგ შეზღუდულია, ან სერვისი სხვა მისამართზე უსმენს, ვიდრე სკანირებული. შეადარეთ გეითვეის IKE ჟურნალი კლიენტს, რომელიც უკვე უკავშირდება სწორი სერტიფიკატებით, სანამ ამ მოწყობილობაზე რამეს დაასკვნით.

აფეთქების ქცევა ამ სიაში შედის, რადგან ჩამოთვლა ბევრ პაკეტს წარმოქმნის მოკლე ფანჯარაში. გეითვეი, რომელიც პირველ ცდებს პასუხობს და შემდეგ ჩუმდება, თავის anti-DoS პოლიტიკას აღწერს და არა წინადადებების ნაკრებს.

ნაბიჯი 5: ჩაწერეთ, რაც დაამტკიცეთ

მიღებული კომბინაცია ჩაწერეთ firmware-ის ვერსიის გვერდით, შემდეგ შეადარეთ იმ ტრანსფორმაციებს, რომლებსაც თქვენთვის მნიშვნელოვანი კლიენტები ნაგულისხმევად სთავაზობენ. სხვაობა ამ ორ სიას შორის კონფიგურაციის პრობლემაა და სკანირებამ მხოლოდ თვალსაჩინო გახადა იგი. თუ ერთადერთი მიღებული წინადადებები ისინია, რომლებსაც არ აირჩევდით, გამოსწორება გეითვეის პოლიტიკაში ან კლიენტის პროფილშია და არასოდეს პრობში.

პრობმა, რომელმაც არასოდეს უპასუხა, მაინც რაღაცას უპასუხა: ის აჩვენებს, რომელი წინადადებებია ეს მოწყობილობა მზად განიხილოს და რომლებს ურჩევნია იატაკზე გადაყაროს.