ike-scan иштеп жаткан IPsec шлюзунан жооп албайт

Шлюз күн сайын телефондор жана ноутбуктар менен иштейт, бирок ike-scan эч бир хост жооп бербегенин билдирет. Бул чыгарылыш түзмөктө IPsec жоктугунун далилиндей окулат. Адатта бул түзмөк зонддогу ар бир сунушту четке кагып, эч нерсеге жооп бербөөнү тандаганын билдирет. Үнсүздүк да жооп, жана бул курал сизге бере ала турган эң маалыматсыз жооп.

Үч өзүнчө суроону кезеги менен карап чыгыңыз: пакет жеттиби, кандайдыр бир сунуш дал келдиби жана башка нерсе теңтушту четке кактыбы?

1-кадам: курал жөнөткөн сунушту окуңуз

Негизги режим демилгечи кабыл ала турган трансформацияларды тизмелеген SA жүгү менен башталат, жана ike-scan бул тизмени компиляцияланган демейкиден толтурат. Демейки топтом атайын эски: шифрлөө үчүн DES жана 3DES, хэштөө үчүн MD5 жана SHA1, ачкыч алмашуу үчүн 1 жана 2 топтору, аутентификация үчүн алдын ала бөлүшүлгөн ачкычтар. AES жок, SHA-2 жок, 14-топ жок. AES-256, SHA-256 жана modp2048 менен конфигурацияланган шлюз аны менен эч нерсе бөлүшпөйт.

Айрым ишке ашыруулар дал келбеген зондго NO-PROPOSAL-CHOSEN билдирүүсү менен жооп берет. Башкалары аны жөн эле таштайт, бул белгисиз теңтуштарды ызы-чуу деп эсептеген түзмөктөрдө кеңири таралган. Кандай болбосун, скандоо эч нерсе басып чыгарбайт, жана ошол «эч нерсе» сырттан көрүнгөн чыпкаланган UDP 500 менен так окшош, муну ike-scan долбоорунун документтештирүүсү демейки топтом жөнүндө так айтат.

2-кадам: бир заманбап сунуш бериңиз

Демейки топтомду --trans менен алмаштырыңыз. Атрибут формасы IKE атрибут сандарын түздөн-түз кабыл алат: шифрлөө үчүн 1, хэш үчүн 2, аутентификация үчүн 3, топ үчүн 4 жана алгоритм аны кабыл алган учурда ачкыч узундугу үчүн 14. Чыккан нерсе — өзгөртүүлөрдү карап чыгууда үн чыгарып окуй турган сап.

Позициялык форма ошол эле баалуулуктарды тартиби менен алып жүрөт жана кашаалардан качат, бул буйрук кабык аркылуу өткөндө маанилүү.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Ар бир пакетке бир сунуш саноодо жай, ошондуктан ыктымалдуу баалуулуктар боюнча циклдеңиз: шифрлөө 5, 7/128, 7/192, 7/256; хэш 1, 2, 5, 6, 7; топтор 1, 2, 5, 14, 15, 19, 20, 21; аутентификация алдын ала бөлүшүлгөн ачкыч үчүн 1 жана RSA кол тамгалары үчүн 3. Ар бир буйрукту аткаруудан мурун басып чыгарыңыз, транскрипт эмне сунушталганын жана кандай тартипте экенин көрсөтсүн.

3-кадам: жоопту чечмелеңиз

Жооп так эки нерсени далилдейт: ошол даректе IKE жооп берүүчүсү жеткиликтүү жана сунушталган бир сунуш кабыл алынарлык болгон. Ал алдын ала бөлүшүлгөн ачкыч, L2TP катмары же колдонуучу аккаунтунун бар-жоктугу тууралуу эч нерсе айтпайт. Ийгиликтүү скандоо кийинки бардык этаптардын ийгиликсиздиги менен толук шайкеш келет.

Сиз башкарган шлюзда бул чындап пайдалуу бөлүк. Скандоо түзмөк дагы кайсы сунуштарды кабыл аларын айтат, ал эми эски трансформациялар менен чектелген натыйжа түзмөк саясаты тууралуу табылга, кардарды алсыратууга себеп эмес.

4-кадам: үнсүздүктү чечмелеңиз

Үнсүздүк көрүнгөндөн алсыз далил. Ар бир сунуш четке кагылган болушу мүмкүн, UDP 500 жана 4500 чыпкаланган болушу мүмкүн, булак жарылуудан кийин ылдамдык менен чектелген болушу мүмкүн, же кызмат сиз скандаган даректен башка даректи угуп жаткан болушу мүмкүн. Куту тууралуу кандайдыр бир тыянак чыгарардан мурун шлюздун IKE журналын жарактуу күбөлүктөр менен мурунтан туташкан кардар менен салыштырыңыз.

Жарылуу жүрүм-туруму ошол тизмеге кирет, анткени саноо кыска терезеде көп пакеттерди жаратат. Биринчи аракеттерге жооп берип, анан үнсүз калган шлюз өзүнүн anti-DoS саясатын сүрөттөйт, сунуштар топтомун эмес.

5-кадам: эмнени далилдегениңизди жазыңыз

Кабыл алынган комбинацияны микропрограмма версиясынын жанына жазыңыз, анан аны сизге маанилүү кардарлар демейки боюнча сунуштаган трансформациялар менен салыштырыңыз. Ошол эки тизменин ортосундагы айырма конфигурация маселеси, ал эми скандоо аны жөн гана көрүнүктүү кылды. Эгерде жалгыз кабыл алынган сунуштар сиз тандабагандар болсо, оңдоо шлюз саясатында же кардар профилинде болушу керек, эч качан зонддо эмес.

Эч качан жооп бербеген зонд баары бир бир нерсеге жооп берди: ал бул түзмөк кайсы сунуштарды талкуулоого даяр экенин жана кайсыларын полго таштап салгысы келээрин көрсөтөт.