ike-scan жұмыс істеп тұрған IPsec шлюзінен жауап алмайды

Шлюз күн сайын телефондар мен ноутбуктерге қызмет көрсетеді, бірақ ike-scan ешбір хост жауап бермеді деп хабарлайды. Бұл шығыс құрылғыда IPsec жоқ екенінің дәлеліндей оқылады. Әдетте бұл құрылғы зондтағы әрбір ұсынысты тастап, ештеңеге жауап бермеуді таңдағанын білдіреді. Үнсіздік те жауап, және бұл құрал сізге бере алатын ең ақпаратсыз жауап.

Үш бөлек сұрақты ретімен қарап шығыңыз: пакет жетті ме, қандай да бір ұсыныс сәйкес келді ме және басқа бірдеңе теңдесті қабылдамады ма?

1-қадам: құрал жіберетін ұсынысты оқыңыз

Негізгі режим инициатор қабылдайтын трансформацияларды тізбектейтін SA пайдалы жүктемесімен басталады, ал ike-scan бұл тізімді компиляцияланған әдепкіден толтырады. Әдепкі жиынтық әдейі ескі: шифрлау үшін DES және 3DES, хэштеу үшін MD5 және SHA1, кілт алмасу үшін 1 және 2 топтары, аутентификация үшін алдын ала ортақ кілттер. AES жоқ, SHA-2 жоқ, 14-топ жоқ. AES-256, SHA-256 және modp2048 үшін конфигурацияланған шлюз онымен ештеңе ортақтаспайды.

Кейбір іске асырулар сәйкессіз зондқа NO-PROPOSAL-CHOSEN хабарламасымен жауап береді. Басқалары оны жай ғана тастайды, бұл белгісіз теңдесті шу деп санайтын құрылғыларда жиі кездеседі. Қалай болғанда да сканерлеу ештеңе басып шығармайды, және бұл «ештеңе» сырттан сүзілген UDP 500 көрінетін жағдаймен бірдей, мұны ike-scan жобасының құжаттамасы әдепкі жиынтық туралы нақты айтады.

2-қадам: бір заманауи ұсыныс беріңіз

Әдепкі жиынтықты --trans-пен ауыстырыңыз. Атрибуттық нысан IKE атрибут нөмірлерін тікелей қабылдайды: шифрлау үшін 1, хэш үшін 2, аутентификация үшін 3, топ үшін 4 және алгоритм қабылдайтын болса, кілт ұзындығы үшін 14. Шыққан нәрсе — өзгерістерді қарау кезінде дауыстап оқуға болатын жол.

Позициялық нысан сол мәндерді ретімен тасымалдайды және жақшалардан аулақ болады, бұл команда қабық арқылы өткенде маңызды.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Әр пакетке бір ұсыныс санамалау кезінде баяу, сондықтан ықтимал мәндер бойынша циклдеңіз: шифрлау 5, 7/128, 7/192, 7/256; хэш 1, 2, 5, 6, 7; топтар 1, 2, 5, 14, 15, 19, 20, 21; аутентификация алдын ала ортақ кілт үшін 1 және RSA қолтаңбалары үшін 3. Әр команданы орындамас бұрын басып шығарыңыз, сонда транскрипт не ұсынылғанын және қандай ретпен екенін көрсетеді.

3-қадам: жауапты түсіндіріңіз

Жауап дәл екі нәрсені дәлелдейді: сол мекенжай бойынша IKE жауап берушісіне қол жеткізуге болады және ұсынылған бір ұсыныс қолайлы болды. Ол алдын ала ортақ кілт, L2TP қабаты немесе пайдаланушы тіркелгісінің бар-жоғы туралы ештеңе айтпайды. Сәтті сканерлеу кейінгі барлық кезеңнің сәтсіздігімен толық үйлеседі.

Сіз басқаратын шлюзде бұл шынымен пайдалы бөлік. Сканерлеу құрылғы әлі қабылдайтын ұсыныстарды айтады, ал ескірген трансформациялармен шектелген нәтиже құрылғы саясаты туралы тұжырым, клиентті әлсіретуге себеп емес.

4-қадам: үнсіздікті түсіндіріңіз

Үнсіздік көрінгеннен әлсіз дәлел. Әрбір ұсыныс қабылданбауы мүмкін, UDP 500 және 4500 сүзілуі мүмкін, көз жарылыстан кейін шектелуі мүмкін немесе қызмет сканерленгеннен басқа мекенжайды тыңдауы мүмкін. Құрылғы туралы қорытынды жасамас бұрын шлюздің IKE журналын жарамды тіркелгі деректерімен әлдеқашан қосылған клиентпен салыстырыңыз.

Жарылыс мінез-құлқы сол тізімге кіреді, өйткені санамалау қысқа терезеде көп пакет тудырады. Алғашқы әрекеттерге жауап беріп, содан кейін үнсіз қалатын шлюз өзінің anti-DoS саясатын сипаттайды, ұсыныстар жиынтығын емес.

5-қадам: нені дәлелдегеніңізді жазыңыз

Қабылданған комбинацияны микробағдарлама нұсқасының қасына жазыңыз, содан кейін оны сізге маңызды клиенттер әдепкі бойынша ұсынатын трансформациялармен салыстырыңыз. Осы екі тізім арасындағы айырмашылық конфигурация мәселесі, ал сканерлеу оны тек көрінетін етті. Егер жалғыз қабылданған ұсыныстар сіз таңдамайтындар болса, түзету шлюз саясатында немесе клиент профилінде болуы керек, ешқашан зондта емес.

Ешқашан жауап бермеген зонд бәрібір бір нәрсеге жауап берді: ол бұл құрылғы қандай ұсыныстарды талқылауға дайын екенін және қайсыларын еденге тастауды жөн көретінін көрсетеді.