ike-scan не добива одговор од работен IPsec гејтвеј

Гејтвејот секој ден им служи на телефони и преносни компјутери, но ike-scan известува дека ниту еден домаќин не одговорил. Тој излез се чита како доказ дека IPsec недостасува на уредот. Обично тоа значи дека уредот го отфрлил секој предлог во сондата и избрал да не одговори ништо. Тишината е одговор, и тоа е најмалку информативниот одговор што алатката може да ви го даде.

Поминете низ три одделни прашања: дали пакетот пристигна, дали некој предлог се совпадна и дали нешто друго го одби партнерот?

Чекор 1: прочитајте го предлогот што го испраќа алатката

Главниот режим започнува со SA товар што ги наведува трансформациите што иницијаторот ќе ги прифати, а ike-scan ја пополнува таа листа од компајлирано стандардно множество. Стандардното множество е намерно старо: DES и 3DES за шифрирање, MD5 и SHA1 за хеширање, групи 1 и 2 за размена на клучеви, претходно споделени клучеви за автентикација. Нема AES, нема SHA-2, нема група 14. Гејтвеј конфигуриран за AES-256 со SHA-256 и modp2048 не дели ништо со него.

Некои имплементации одговараат на несовпадната сонда со NO-PROPOSAL-CHOSEN известување. Други едноставно го отфрлаат, што е вообичаено на апарати што непознати партнери ги третираат како шум. Во секој случај скенирањето не печати ништо, и тоа ништо е идентично со тоа како однадвор изгледа филтриран UDP 500, како што документацијата на проектот ike-scan јасно наведува за стандардното множество.

Чекор 2: понудете еден современ предлог

Заменете го стандардното множество со --trans. Формата со атрибути директно ги зема броевите на IKE атрибутите: 1 за шифрирање, 2 за хеш, 3 за автентикација, 4 за групата и 14 за должината на клучот кога алгоритмот ја зема. Она што излегува е линија што можете гласно да ја прочитате во преглед на промени.

Позициската форма ги носи истите вредности по ред и избегнува загради, што е важно кога командата поминува низ школка.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Еден предлог по пакет е бавен кога набројувате, затоа вртете низ веројатните вредности: шифрирање 5, 7/128, 7/192, 7/256; хеш 1, 2, 5, 6, 7; групи 1, 2, 5, 14, 15, 19, 20, 21; автентикација 1 за претходно споделен клуч и 3 за RSA потписи. Испечатете ја секоја команда пред да ја извршите, за да покаже транскриптот што е понудено и по кој редослед.

Чекор 3: протолкувајте одговор

Одговорот докажува точно две работи: IKE одговорникот е достапен на таа адреса и еден понуден предлог бил прифатлив. Тој не кажува ништо за претходно споделениот клуч, L2TP слојот или дали постои корисничка сметка. Успешното скенирање е целосно компатибилно со неуспех на секоја подоцнежна фаза.

На гејтвеј што го управувате, ова е навистина корисниот дел. Скенирањето ви кажува кои предлози уредот сѐ уште ги прифаќа, а резултатот ограничен на наследени трансформации е наод за политиката на уредот, а не причина да го ослабите клиентот.

Чекор 4: протолкувајте тишина

Тишината е послаб доказ отколку што изгледа. Секој предлог можеби бил одбиен, UDP 500 и 4500 можеби се филтрирани, изворот можеби е ограничен по брзина по рафал, или услугата можеби слуша на друга адреса од онаа што сте ја скенирале. Споредете го IKE дневникот на гејтвејот со клиент што веќе се поврзува со валидни акредитиви пред да заклучите нешто за кутијата.

Однесувањето при рафал спаѓа во таа листа бидејќи набројувањето создава многу пакети во краток прозорец. Гејтвеј што одговара на првите обиди и потоа замолчува ја опишува својата anti-DoS политика, а не своето множество предлози.

Чекор 5: запишете што докажавте

Запишете ја прифатената комбинација до верзијата на фирмверот, потоа споредете ја со трансформациите што клиентите што ви се важни ги нудат стандардно. Јазот меѓу тие две листи е конфигурацискиот проблем, а скенирањето само го направи видлив. Ако единствените прифатени предлози се оние што не би ги избрале, поправката припаѓа на политиката на гејтвејот или на профилот на клиентот, никогаш на сондата.

Сонда што никогаш не одговорила сепак одговорила на нешто: покажува кои предлози овој уред е подготвен да ги разговара и кои повеќе би сакал да ги фрли на подот.