ike-scan nie otrzymuje odpowiedzi od działającej bramy IPsec

Brama obsługuje telefony i laptopy każdego dnia, a jednak ike-scan zgłasza, że żaden host nie odpowiedział. Ten wynik czyta się jak dowód, że w urządzeniu brakuje IPsec. Zwykle oznacza to, że urządzenie odrzuciło każdą propozycję w sondzie i zdecydowało się nie odpowiadać na nic. Cisza też jest odpowiedzią i jest to najmniej informatywna odpowiedź, jakiej narzędzie może ci udzielić.

Przejdź przez trzy osobne pytania: czy pakiet dotarł, czy którakolwiek propozycja pasowała i czy coś innego odrzuciło peera?

Krok 1: przeczytaj propozycję wysyłaną przez narzędzie

Tryb główny zaczyna się od ładunku SA, który wymienia transformacje akceptowane przez inicjatora, a ike-scan wypełnia tę listę skompilowanym domyślnym zestawem. Zestaw domyślny jest celowo stary: DES i 3DES do szyfrowania, MD5 i SHA1 do hashowania, grupy 1 i 2 do wymiany kluczy, klucze wstępnie współdzielone do uwierzytelniania. Żadnego AES, żadnego SHA-2, żadnej grupy 14. Brama skonfigurowana dla AES-256 z SHA-256 i modp2048 nie ma z nim nic wspólnego.

Niektóre implementacje odpowiadają na niedopasowaną sondę powiadomieniem NO-PROPOSAL-CHOSEN. Inne po prostu ją porzucają, co jest częste w urządzeniach traktujących nieznanych peerów jako szum. Tak czy inaczej skan nic nie wypisuje, a to nic jest identyczne z tym, jak z zewnątrz wygląda filtrowany UDP 500, co dokumentacja projektu ike-scan jasno wyjaśnia w kwestii zestawu domyślnego.

Krok 2: zaproponuj jedną nowoczesną propozycję

Zastąp zestaw domyślny przez --trans. Forma atrybutowa przyjmuje numery atrybutów IKE bezpośrednio: 1 do szyfrowania, 2 do skrótu, 3 do uwierzytelniania, 4 do grupy i 14 do długości klucza, gdy algorytm jej wymaga. Wynikiem jest wiersz, który możesz przeczytać na głos podczas przeglądu zmian.

Forma pozycyjna przenosi te same wartości w kolejności i unika nawiasów, co ma znaczenie, gdy polecenie przechodzi przez powłokę.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Jedna propozycja na pakiet jest wolna przy wyliczaniu, więc pętla po prawdopodobnych wartościach: szyfrowanie 5, 7/128, 7/192, 7/256; skrót 1, 2, 5, 6, 7; grupy 1, 2, 5, 14, 15, 19, 20, 21; uwierzytelnianie 1 dla klucza wstępnie współdzielonego i 3 dla podpisów RSA. Wypisuj każde polecenie przed uruchomieniem, aby transkrypt pokazywał, co zaproponowano i w jakiej kolejności.

Krok 3: zinterpretuj odpowiedź

Odpowiedź dowodzi dokładnie dwóch rzeczy: responder IKE jest osiągalny pod tym adresem i jedna zaproponowana propozycja była akceptowalna. Nie mówi nic o kluczu wstępnie współdzielonym, warstwie L2TP ani o tym, czy istnieje konto użytkownika. Udany skan jest całkowicie zgodny z porażką każdego późniejszego etapu.

Na bramie, którą zarządzasz, to jest naprawdę użyteczna część. Skan mówi, które propozycje urządzenie nadal akceptuje, a wynik ograniczony do starszych transformacji jest ustaleniem dotyczącym polityki urządzenia, a nie powodem do osłabiania klienta.

Krok 4: zinterpretuj ciszę

Cisza jest słabszym dowodem, niż wygląda. Każda propozycja mogła zostać odrzucona, UDP 500 i 4500 mogą być filtrowane, źródło może być ograniczone szybkością po serii, albo usługa może nasłuchiwać pod innym adresem niż ten, który skanowałeś. Porównaj dziennik IKE bramy z klientem, który już łączy się z ważnymi danymi logowania, zanim wyciągniesz jakikolwiek wniosek o tym urządzeniu.

Zachowanie przy serii należy do tej listy, ponieważ wyliczanie generuje wiele pakietów w krótkim oknie. Brama, która odpowiada na pierwsze próby, a potem milknie, opisuje swoją politykę anti-DoS, a nie zestaw propozycji.

Krok 5: zapisz, co udowodniłeś

Zapisz zaakceptowaną kombinację obok wersji firmware’u, a następnie porównaj ją z transformacjami, które klienci, na których ci zależy, oferują domyślnie. Różnica między tymi dwiema listami to problem konfiguracji, a skan tylko go uwidocznił. Jeśli jedyne akceptowane propozycje to te, których byś nie wybrał, poprawka należy do polityki bramy albo profilu klienta, nigdy do sondy.

Sonda, która nigdy nie odpowiedziała, też na coś odpowiedziała: pokazuje, które propozycje to urządzenie jest gotowe omówić, a które wolałoby upuścić na podłogę.