ike-scan não recebe resposta de um gateway IPsec a funcionar

O gateway serve telefones e portáteis todos os dias, mas o ike-scan relata que nenhum anfitrião respondeu. Essa saída lê-se como prova de que o IPsec está ausente do dispositivo. Normalmente significa que o dispositivo descartou todas as propostas da sonda e optou por não responder nada. O silêncio também é uma resposta, e é a menos informativa que a ferramenta lhe pode dar.

Analise três perguntas separadas: o pacote chegou, alguma proposta correspondeu, e algo mais recusou o par?

Passo 1: leia a proposta que a ferramenta envia

O modo principal começa com um payload SA que lista as transformações que o iniciador aceitará, e o ike-scan preenche essa lista a partir de uma predefinição compilada. O conjunto predefinido é deliberadamente antigo: DES e 3DES para cifragem, MD5 e SHA1 para hashing, grupos 1 e 2 para troca de chaves, chaves pré-partilhadas para autenticação. Nenhum AES, nenhum SHA-2, nenhum grupo 14. Um gateway configurado para AES-256 com SHA-256 e modp2048 nada partilha com ele.

Algumas implementações respondem a uma sonda incompatível com uma notificação NO-PROPOSAL-CHOSEN. Outras simplesmente descartam-na, o que é comum em equipamentos que tratam pares desconhecidos como ruído. De qualquer forma a análise não imprime nada, e esse nada é idêntico ao que um UDP 500 filtrado parece do exterior, como a documentação do projeto ike-scan deixa claro sobre o conjunto predefinido.

Passo 2: ofereça uma proposta moderna

Substitua o conjunto predefinido por --trans. A forma de atributos recebe diretamente os números de atributo IKE: 1 para cifragem, 2 para hash, 3 para autenticação, 4 para o grupo e 14 para o comprimento da chave quando o algoritmo o aceita. O resultado é uma linha que pode ler em voz alta numa revisão de alterações.

A forma posicional transporta os mesmos valores por ordem e evita parênteses, o que importa quando o comando passa por uma shell.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Uma proposta por pacote é lenta quando enumera, por isso percorra os valores plausíveis: cifragem 5, 7/128, 7/192, 7/256; hash 1, 2, 5, 6, 7; grupos 1, 2, 5, 14, 15, 19, 20, 21; autenticação 1 para uma chave pré-partilhada e 3 para assinaturas RSA. Imprima cada comando antes de o executar, para que a transcrição mostre o que foi oferecido e em que ordem.

Passo 3: interprete uma resposta

Uma resposta prova exatamente duas coisas: há um respondedor IKE alcançável nesse endereço, e uma proposta oferecida era aceitável. Não diz nada sobre a chave pré-partilhada, a camada L2TP ou a existência de uma conta de utilizador. Uma análise bem-sucedida é totalmente compatível com a falha de todas as fases seguintes.

Num gateway que administra, esta é a parte realmente útil. A análise diz-lhe quais propostas o dispositivo ainda aceita, e um resultado limitado a transformações antigas é uma descoberta sobre a política do dispositivo, não um motivo para enfraquecer o cliente.

Passo 4: interprete o silêncio

O silêncio é uma prova mais fraca do que parece. Todas as propostas podem ter sido rejeitadas, o UDP 500 e o 4500 podem estar filtrados, a origem pode estar limitada em taxa após uma rajada, ou o serviço pode escutar num endereço diferente do que analisou. Compare o registo IKE do gateway com um cliente que já se liga com credenciais válidas antes de concluir algo sobre a caixa.

O comportamento em rajada pertence a essa lista porque a enumeração gera muitos pacotes numa janela curta. Um gateway que responde às primeiras tentativas e depois fica silencioso está a descrever a sua política anti-DoS, não o seu conjunto de propostas.

Passo 5: registe o que provou

Escreva a combinação aceite ao lado da versão do firmware e depois compare-a com as transformações que os clientes que lhe importam oferecem por predefinição. A diferença entre essas duas listas é o problema de configuração, e a análise apenas a tornou visível. Se as únicas propostas aceites forem as que não escolheria, a correção pertence à política do gateway ou a um perfil de cliente, nunca à sonda.

Uma sonda que nunca respondeu ainda respondeu a algo: mostra quais propostas este dispositivo está disposto a discutir e quais preferiria deixar cair no chão.