ike-scan kritt keng Äntwert vun engem funktionéierende IPsec-Gateway

Den Gateway bedéngt all Dag Telefonen a Laptoppen, awer ike-scan mellt, datt keng Hosten geäntwert hunn. Där Ausgab liest sech wéi de Beweis, datt IPsec um Apparat feelt. Meeschtens heescht et, datt den Apparat all Propositioun am Probez verhämmert huet an decidéiert huet, näischt ze äntweren. Stille ass eng Äntwert, an et ass déi mannst informativ, déi den Tool dir ka ginn.

Schaff dräi getrennte Froen duerch: ass de Pak ukomm, huet eng Propositioun gepasst, an huet eppes anescht de Peer refuséiert?

Schrëtt 1: liest d’Propositioun, déi den Tool schéckt

De Mainmodus fänkt mat engem SA-Payload un, deen d’Transformen oplëscht, déi den Initiator akzeptéiert, an ike-scan fëllt déi Lëscht aus engem kompiléierte Standard. Den Standardset ass bewosst al: DES an 3DES fir d’Verschlësselung, MD5 an SHA1 fir d’Hashing, Gruppen 1 an 2 fir den Austausch vum Schlëssel, virgeschësste Schlëssel fir d’Authentifikatioun. Kee AES, kee SHA-2, keng Grupp 14. En Gateway, deen fir AES-256 mat SHA-256 an modp2048 konfiguréiert ass, deelt näischt domat.

Verschidde Implementatiounen äntweren op en net-passende Probez mat enger NO-PROPOSAL-CHOSEN Notifikatioun. Anerer verwerfen en einfach, wat heefeg ass op Apparaten, déi onbekannte Peer als Kaméidi behandelen. Sou oder esou dréckt de Scan näischt, an dëst Näischt ass identesch mat deem, wat en gefilterte UDP 500 vun dobaussen ausgesäit, wéi d’Dokumentatioun vum ike-scan-Projet iwwer den Standardset kloer mécht.

Schrëtt 2: bitt eng modern Propositioun un

Ersetzt den Standardset duerch --trans. D’Attributsform hëlt IKE-Attributsnummeren direkt: 1 fir d’Verschlësselung, 2 fir den Hash, 3 fir d’Authentifikatioun, 4 fir d’Grupp an 14 fir d’Schlëssellängt, wann den Algorithmus eng hëlt. Eraus kënnt eng Zeil, déi dir an enger Ännerungsreview haart liese kënnt.

D’Positiounsform dréit déiselwecht Wäerter an der Rei an ëmgeet Klammern, wat zielt, soubal de Kommando duerch eng Shell geet.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Eng Propositioun pro Pak ass lues, wann dir enumeréiert, also schléiss iwwer déi plausibel Wäerter: Verschlësselung 5, 7/128, 7/192, 7/256; Hash 1, 2, 5, 6, 7; Gruppen 1, 2, 5, 14, 15, 19, 20, 21; Authentifikatioun 1 fir e virgeschësste Schlëssel an 3 fir RSA-Signaturen. Dréck all Kommando aus, ier dir en ausféiert, sou datt den Transkript weist, wat ugebuede gouf a wéi en der Rei no.

Schrëtt 3: interpretéiert eng Äntwert

Eng Äntwert beweist genee zwou Saachen: en IKE-Responder ass op där Adress erreechbar, an eng ugebuede Propositioun war akzeptabel. Si seet näischt iwwer de virgeschësste Schlëssel, d’L2TP-Schicht oder ob e Benotzerkont existéiert. En erfollegräiche Scan ass komplett kompatibel domat, datt all spéider Etapp feelt.

Op engem Gateway, deen dir bedreift, ass dëst deen tatsächlech nëtzlechen Deel. De Scan seet dir, wéi eng Propositioune den Apparat nach akzeptéiert, an en Resultat, dat op Legacy-Transformen limitéiert ass, ass eng Erkenntnis iwwer d’Apparatspolitik, keen Grond, de Client ze schwächen.

Schrëtt 4: interpretéiert d’Stille

Stille ass e méi schwaache Beweis wéi et ausgesäit. All Propositioun ka refuséiert gi sinn, UDP 500 an 4500 kënne gefiltert sinn, d’Quell ka no engem Burst ratelimitéiert sinn, oder de Service ka lauschteren op enger anerer Adress wéi déi, déi dir gescannt hutt. Vergläicht dem Gateway säin IKE-Log mat engem Client, deen sech schonn mat valabelen Umeldungsdaten verbënnt, ier dir iwwer d’Këscht eppes schléisst.

Burstverhalen gehéiert an déi Lëscht, well d’Enumeratioun vill Paken an engem kuerzen Zäitfënster generéiert. En Gateway, deen op déi éischt Versich äntwert an dann roueg gëtt, beschreift seng anti-DoS-Politik an net säi Propositiounsset.

Schrëtt 5: notéiert, wat dir bewisen hutt

Schreift d’akzeptéiert Kombinatioun nieft d’Firmware-Versioun, a vergläicht se dann mat den Transformen, déi d’Cliente, déi dir wichteg fannt, standardméisseg ubidden. D’Lück tëscht dësen zwou Lëschten ass de Konfiguratiounsproblem, an de Scan huet en just siichtbar gemaach. Wann déi eenzeg akzeptéiert Propositiounen der sinn, déi dir net wëllt, gehéiert d’Korrektur an d’Gateway-Politik oder an e Client-Profil, ni an de Probez.

E Probez, deen ni geäntwert huet, huet nach ëmmer eppes beäntwert: hie weist, wéi eng Propositiounen dësen Apparat bereet ass ze diskutéieren, a wéi eng hie léiwer op de Buedem fale léisst.