ike-scan ажиллаж буй IPsec гарцаас хариу авахгүй байна

Гарц өдөр бүр утас, зөөврийн компьютерт үйлчилдэг ч ike-scan ямар ч хост хариу өгөөгүй гэж мэдээлдэг. Энэ гаралт төхөөрөмжид IPsec байхгүйн нотолгоо мэт уншигдана. Ихэвчлэн энэ нь төхөөрөмж шалгах хүсэлтийн бүх саналыг хаяж, юунд ч хариу өгөхгүй байхаар сонгосон гэсэн үг. Чимээгүй байдал ч хариу бөгөөд энэ нь хэрэгсэл танд өгч чадах хамгийн бага мэдээлэлтэй хариу юм.

Гурван тусдаа асуултыг дараалан авч үзээрэй: пакет ирсэн үү, ямар нэг санал тохирсон уу, өөр ямар нэг зүйл түншийг татгалзсан уу?

1-р алхам: хэрэгслийн илгээдэг саналыг уншина уу

Үндсэн горим нь санаачлагчийн хүлээн авах хувиргалтыг жагсаасан SA ачааллаар эхэлдэг бөгөөд ike-scan тэр жагсаалтыг компиллагдсан өгөгдмлөөс дүүргэдэг. Өгөгдмөл багц нь зориуд хуучин: шифрлэлтэд DES ба 3DES, хэшлэлтэд MD5 ба SHA1, түлхүүр солилцоонд 1 ба 2 бүлэг, баталгаажуулалтад урьдчилан хуваалцсан түлхүүрүүд. AES байхгүй, SHA-2 байхгүй, 14-р бүлэг байхгүй. AES-256, SHA-256, modp2048-аар тохируулсан гарц түүнтэй юу ч хуваалцдаггүй.

Зарим хэрэгжүүлэлт тохирохгүй шалгалтад NO-PROPOSAL-CHOSEN мэдэгдлээр хариулдаг. Бусад нь зүгээр л хаядаг бөгөөд танихгүй түншийг чимээ гэж үздэг төхөөрөмжүүдэд энэ нийтлэг. Аль ч тохиолдолд скан юу ч хэвлэхгүй бөгөөд тэр «юу ч» нь гаднаас харагдах шүүгдсэн UDP 500-тэй яг ижил, гэдгийг ike-scan төслийн баримт бичиг өгөгдмөл багцын тухай тодорхой хэлдэг.

2-р алхам: нэг орчин үеийн санал болгоно уу

Өгөгдмөл багцыг --trans-аар солино уу. Атрибутын хэлбэр IKE атрибутын дугаарыг шууд авдаг: шифрлэлтэд 1, хэшэд 2, баталгаажуулалтад 3, бүлэгт 4, алгоритм үүнийг авбал түлхүүрийн уртад 14. Гарч ирэх нь өөрчлөлтийн хяналтад чангаар уншиж болох нэг мөр юм.

Байрлалын хэлбэр ижил утгуудыг дарааллаар нь зөөж, хаалтаас зайлсхийдэг бөгөөд энэ нь тушаал бүрхүүлээр дамжих үед чухал.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Нэг пакетэд нэг санал тоолоход удаан тул боломжит утгуудыг давтана уу: шифрлэлт 5, 7/128, 7/192, 7/256; хэш 1, 2, 5, 6, 7; бүлгүүд 1, 2, 5, 14, 15, 19, 20, 21; баталгаажуулалт урьдчилан хуваалцсан түлхүүрт 1, RSA гарын үсэгт 3. Тушаал бүрийг ажиллуулахын өмнө хэвлээрэй, ингэснээр хуулбар юу санал болгосон, ямар дарааллаар байсныг харуулна.

3-р алхам: хариуг тайлбарлана уу

Хариу нь яг хоёр зүйлийг нотолдог: тэр хаяг дээр IKE хариулагч хүрч боломжтой, мөн санал болгосон нэг санал хүлээн зөвшөөрөгдөхүйц байсан. Энэ нь урьдчилан хуваалцсан түлхүүр, L2TP давхарга, эсвэл хэрэглэгчийн бүртгэл байгаа эсэхийг хэлэхгүй. Амжилттай скан нь дараагийн бүх үе шат бүтэлгүйтэхтэй бүрэн нийцдэг.

Таны удирддаг гарц дээр энэ бол үнэхээр хэрэгтэй хэсэг. Скан нь төхөөрөмж аль саналыг хүлээн авасаар байгааг хэлж өгдөг бөгөөд хуучин хувиргалтаар хязгаарлагдсан үр дүн нь төхөөрөмжийн бодлогын тухай олдвор болохоос клиентийг сулруулах шалтгаан биш.

4-р алхам: чимээгүй байдлыг тайлбарлана уу

Чимээгүй байдал харагдахаас сул нотолгоо. Санал бүр татгалзагдсан байж болно, UDP 500 ба 4500 шүүгдсэн байж болно, эх сурвалж тэсрэлтийн дараа хурд хязгаарлагдсан байж болно, эсвэл үйлчилгээ таны скан хийсэн хаягаас өөр хаяг дээр сонсож байж болно. Хайрцагны талаар дүгнэлт хийхийн өмнө гарцын IKE логыг хүчинтэй итгэмжлэлээр аль хэдийн холбогдсон клиенттэй харьцуулна уу.

Тэсрэлтийн зан үйл тэр жагсаалтад багтана, учир нь тоолох нь богино цонхонд олон пакет үүсгэдэг. Эхний оролдлогуудад хариулж, дараа нь дуугүй болох гарц нь саналын багцаа биш, anti-DoS бодлогоо дүрсэлж байна.

5-р алхам: юуг нотолсноо бичнэ үү

Хүлээн зөвшөөрөгдсөн хослолыг програм хангамжийн хувилбарын хажууд бичээд, дараа нь танд чухал клиентүүд өгөгдмлөөр санал болгодог хувиргалттай харьцуулна уу. Тэр хоёр жагсаалтын хоорондын зөрүү нь тохиргооны асуудал бөгөөд скан түүнийг зөвхөн харагдуулсан. Хэрэв цорын ганц хүлээн зөвшөөрөгдсөн саналууд таны сонгохгүй зүйлс бол засвар нь гарцын бодлого эсвэл клиентийн профайлд хамаарах бөгөөд хэзээ ч шалгалтад биш.

Хэзээ ч хариу өгөөгүй шалгалт ч гэсэн ямар нэг зүйлд хариулсан: энэ төхөөрөмж ямар саналыг хэлэлцэхэд бэлэн, алийг нь шалан дээр хаяхыг илүүд үздэгийг харуулдаг.