ike-scan ma jirċevix tweġiba minn gateway IPsec li jaħdem

Il-gateway iservi telefowns u laptops kuljum, iżda ike-scan jirrapporta li l-ebda host ma wieġeb. Dak l-output jinqara bħala prova li IPsec nieqes mill-apparat. Normalment ifisser li l-apparat warrab kull proposta fil-probe u għażel li ma jwieġeb xejn. Is-skiet huwa tweġiba, u hija l-inqas waħda informattiva li l-għodda tista’ tagħtik.

Mexxi tliet mistoqsijiet separati: wasal il-pakkett, qabbel xi proposta, u xi ħaġa oħra rrifjutat il-peer?

Pass 1: aqra l-proposta li tibgħat l-għodda

Il-modalità prinċipali tibda b’payload SA li jelenka t-trasformazzjonijiet li l-inizjatur se jaċċetta, u ike-scan jimla dik il-lista minn default ikkompilat. Is-sett default huwa apposta antik: DES u 3DES għaċ-ċifrar, MD5 u SHA1 għall-hashing, gruppi 1 u 2 għall-iskambju tal-muftieħ, muftiet maqsuma minn qabel għall-awtentikazzjoni. L-ebda AES, l-ebda SHA-2, l-ebda grupp 14. Gateway ikkonfigurat għal AES-256 b’SHA-256 u modp2048 ma jaqsam xejn miegħu.

Xi implimentazzjonijiet iwieġbu probe li ma taqbilx b’notifika NO-PROPOSAL-CHOSEN. Oħrajn sempliċement jarmuh, li huwa komuni fuq apparati li jqisu peers mhux magħrufa bħala storbju. B’xi mod, l-iscan ma jipprintja xejn, u dak ix-xejn huwa identiku għal dak li jidher UDP 500 iffiltrat minn barra, kif id-dokumentazzjoni tal-proġett ike-scan tagħmilha ċara dwar is-sett default.

Pass 2: ipproponi proposta moderna waħda

Issostitwixxi s-sett default b’--trans. Il-forma tal-attributi tieħu n-numri tal-attributi IKE direttament: 1 għaċ-ċifrar, 2 għall-hash, 3 għall-awtentikazzjoni, 4 għall-grupp u 14 għat-tul tal-muftieħ meta l-algoritmu jieħu wieħed. Dak li joħroġ huwa linja li tista’ taqra b’leħen għoli f’reviżjoni tal-bidliet.

Il-forma pożizzjonali ġġorr l-istess valuri fl-ordni u tevita l-parentesi, li jgħodd meta l-kmand jgħaddi minn shell.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Proposta waħda għal kull pakkett hija bil-mod meta tenumeraha, għalhekk dawwar fuq il-valuri plawżibbli: ċifrar 5, 7/128, 7/192, 7/256; hash 1, 2, 5, 6, 7; gruppi 1, 2, 5, 14, 15, 19, 20, 21; awtentikazzjoni 1 għal muftieħ maqsum minn qabel u 3 għal firem RSA. Ipprintja kull kmand qabel ma tmexxih sabiex it-traskrizzjoni turi x’ġie propost u f’liema ordni.

Pass 3: interpreta tweġiba

Tweġiba tipprova eżattament żewġ affarijiet: responder IKE jista’ jintlaħaq f’dak l-indirizz, u proposta waħda offruta kienet aċċettabbli. Ma tgħid xejn dwar il-muftieħ maqsum minn qabel, is-saff L2TP jew jekk teżistx kont tal-utent. Scans b’suċċess huwa kompletament kompatibbli ma’ kull stadju sussegwenti li jfalli.

Fuq gateway li tmexxi int, dan huwa l-parti tassew utli. L-iscan jgħidlek liema proposti l-apparat għadu jaċċetta, u riżultat limitat għal trasformazzjonijiet legat hija sejba dwar il-politika tal-apparat, mhux raġuni biex iddgħajjef il-klijent.

Pass 4: interpreta s-skiet

Is-skiet huwa prova aktar dgħajfa milli tidher. Kull proposta setgħet ġiet miċħuda, UDP 500 u 4500 setgħu ġew iffiltrati, is-sors seta’ ġie limituat fir-rata wara burst, jew is-servizz seta’ jisma’ fuq indirizz differenti minn dak li skenjajt. Qabbel il-log IKE tal-gateway ma’ klijent li diġà jikkonnettja b’kredenzjali validi qabel ma tikkonkludi xejn dwar il-kaxxa.

L-imġiba tal-burst tappartjeni għal dik il-lista għax l-enumerazzjoni tiġġenera ħafna pakketti fi ftit żmien. Gateway li jwieġeb l-ewwel attentati u mbagħad jibqa’ sieket qed jiddeskrivi l-politika anti-DoS tiegħu, mhux is-sett tal-proposti tiegħu.

Pass 5: irreġistra dak li ppruvajt

Ikteb il-kombinazzjoni aċċettata ħdejn il-verżjoni tal-firmware, imbagħad qabbilha mat-trasformazzjonijiet li l-klijenti li jimpurtak minnhom joffru b’mod awtomatiku. Il-vojt bejn dawk iż-żewġ listi huwa l-problema tal-konfigurazzjoni, u l-iscan biss għamilha viżibbli. Jekk l-uniċi proposti aċċettati huma dawk li ma tagħżilx, is-sewwa jappartjeni għall-politika tal-gateway jew għall-profil tal-klijent, qatt għall-probe.

Probe li qatt ma wieġeb xorta waħda wieġeb xi ħaġa: juri liema proposti dan l-apparat huwa lest jiddiskuti, u liema jippreferi jħalli jaqgħu mal-art.