ike-scan negauna atsakymo iš veikiančio IPsec šliuzo

Šliuzas kasdien aptarnauja telefonus ir nešiojamuosius kompiuterius, tačiau ike-scan praneša, kad nė vienas serveris neatsakė. Ši išvestis skaitoma kaip įrodymas, kad įrenginyje nėra IPsec. Paprastai tai reiškia, kad įrenginys atmetė kiekvieną zondo pasiūlymą ir pasirinko nieko neatsakyti. Tyla taip pat yra atsakymas, ir tai yra mažiausiai informatyvus atsakymas, kurį įrankis gali jums duoti.

Peržiūrėkite tris atskirus klausimus: ar paketas atvyko, ar kuris nors pasiūlymas atitiko ir ar kažkas kitas atmetė partnerį?

1 žingsnis: perskaitykite pasiūlymą, kurį siunčia įrankis

Pagrindinis režimas prasideda SA naudingąja apkrova, kurioje išvardytos transformacijos, kurias priims iniciatorius, o ike-scan užpildo tą sąrašą iš sukompiliuoto numatytojo. Numatytasis rinkinys tyčia senas: DES ir 3DES šifravimui, MD5 ir SHA1 maišymui, 1 ir 2 grupės raktų mainams, iš anksto bendrinami raktai autentifikavimui. Jokio AES, jokio SHA-2, jokios 14 grupės. Šliuzas, sukonfigūruotas AES-256 su SHA-256 ir modp2048, nieko bendro su juo neturi.

Kai kurios implementacijos į neatitinkantį zondą atsako NO-PROPOSAL-CHOSEN pranešimu. Kitos tiesiog jį numeta, o tai įprasta prietaisuose, kurie nežinomus partnerius laiko triukšmu. Abu atvejais skenavimas nieko nespausdina, ir tas niekas yra identiškas tam, kaip iš išorės atrodo filtruojamas UDP 500, kaip ike-scan projekto dokumentacija aiškiai nurodo apie numatytąjį rinkinį.

2 žingsnis: pasiūlykite vieną modernų pasiūlymą

Pakeiskite numatytąjį rinkinį --trans. Atributų forma tiesiogiai ima IKE atributų numerius: 1 šifravimui, 2 maišymui, 3 autentifikavimui, 4 grupei ir 14 rakto ilgiui, kai algoritmas jį ima. Rezultatas yra eilutė, kurią galite garsiai perskaityti keitimų peržiūroje.

Pozicinė forma perduoda tas pačias reikšmes iš eilės ir išvengia skliaustų, o tai svarbu, kai komanda keliauja per apvalkalą.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Vienas pasiūlymas vienam paketui yra lėtas, kai išvardijate, todėl kartokite tikėtinas reikšmes: šifravimas 5, 7/128, 7/192, 7/256; maišymas 1, 2, 5, 6, 7; grupės 1, 2, 5, 14, 15, 19, 20, 21; autentifikavimas 1 iš anksto bendrinamam raktui ir 3 RSA parašams. Spausdinkite kiekvieną komandą prieš ją vykdydami, kad stenograma rodytų, kas buvo pasiūlyta ir kokia tvarka.

3 žingsnis: interpretuokite atsakymą

Atsakymas įrodo tiksliai du dalykus: IKE atsakiklis pasiekiamas tuo adresu ir vienas pasiūlytas pasiūlymas buvo priimtinas. Jis nieko nesako apie iš anksto bendrinamą raktą, L2TP sluoksnį ar tai, ar egzistuoja vartotojo paskyra. Sėkmingas skenavimas visiškai suderinamas su kiekvieno vėlesnio etapo nesėkme.

Šliuze, kurį valdote, tai tikrai naudinga dalis. Skenavimas pasako, kuriuos pasiūlymus įrenginys dar priima, o rezultatas, apsiribojantis senomis transformacijomis, yra įrenginio politikos atradimas, o ne priežastis silpninti klientą.

4 žingsnis: interpretuokite tylą

Tyla yra silpnesnis įrodymas, nei atrodo. Kiekvienas pasiūlymas galėjo būti atmestas, UDP 500 ir 4500 gali būti filtruojami, šaltinis gali būti apribotas po protrūkio, arba paslauga gali klausytis kito adreso nei tas, kurį nuskaitėte. Palyginkite šliuzo IKE žurnalą su klientu, kuris jau jungiasi naudodamas galiojančius prisijungimo duomenis, prieš darydami bet kokią išvadą apie dėžę.

Protrūkio elgsena patenka į tą sąrašą, nes išvardijimas sukuria daug paketų per trumpą laiką. Šliuzas, kuris atsako į pirmuosius bandymus ir tada nutyla, apibūdina savo anti-DoS politiką, o ne pasiūlymų rinkinį.

5 žingsnis: užrašykite, ką įrodėte

Užrašykite priimtą derinį šalia programinės įrangos versijos, tada palyginkite jį su transformacijomis, kurias jums svarbūs klientai siūlo pagal numatytuosius nustatymus. Tarpas tarp tų dviejų sąrašų yra konfigūracijos problema, o skenavimas tik padarė ją matomą. Jei vieninteliai priimtini pasiūlymai yra tie, kurių nesirinktumėte, pataisa priklauso šliuzo politikai arba kliento profiliui, niekada zondalui.

Zondas, kuris niekada neatsakė, vis tiek į kažką atsakė: jis parodo, kuriuos pasiūlymus šis įrenginys pasirengęs aptarti ir kuriuos mieliau numestų ant grindų.