ike-scan ne dobija odgovor od ispravnog IPsec gejtveja

Gejtvej svakog dana opslužuje telefone i laptopove, ali ike-scan izveštava da nijedan host nije odgovorio. Taj izlaz se čita kao dokaz da na uređaju nema IPsec-a. Obično to znači da je uređaj odbacio svaki predlog u probi i izabrao da ni na šta ne odgovori. Tišina je takođe odgovor, i to je najmanje informativan odgovor koji vam alat može dati.

Prođite kroz tri odvojena pitanja: da li je paket stigao, da li se neki predlog poklopio i da li je nešto drugo odbilo partnera?

Korak 1: pročitajte predlog koji alat šalje

Glavni režim počinje SA korisnim opterećenjem koje navodi transformacije koje će inicijator prihvatiti, a ike-scan popunjava tu listu iz kompajliranog podrazumevanog skupa. Podrazumevani skup je namerno star: DES i 3DES za šifrovanje, MD5 i SHA1 za heširanje, grupe 1 i 2 za razmenu ključeva, unapred deljeni ključevi za autentifikaciju. Nema AES-a, nema SHA-2, nema grupe 14. Gejtvej konfigurisan za AES-256 sa SHA-256 i modp2048 ne deli ništa s njim.

Neke implementacije odgovaraju na nepodudarnu probu obaveštenjem NO-PROPOSAL-CHOSEN. Druge je jednostavno odbacuju, što je uobičajeno na uređajima koji nepoznate partnere tretiraju kao šum. U svakom slučaju skeniranje ne štampa ništa, i to ništa je identično onome kako spolja izgleda filtrirani UDP 500, kao što dokumentacija projekta ike-scan jasno navodi o podrazumevanom skupu.

Korak 2: ponudite jedan moderan predlog

Zamenite podrazumevani skup sa --trans. Oblik sa atributima direktno uzima brojeve IKE atributa: 1 za šifrovanje, 2 za heš, 3 za autentifikaciju, 4 za grupu i 14 za dužinu ključa kada algoritam uzima jednu. Ono što izlazi je red koji možete pročitati naglas u pregledu izmena.

Pozicioni oblik nosi iste vrednosti po redu i izbegava zagrade, što je važno kada komanda prolazi kroz školjku.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Jedan predlog po paketu je spor kada nabrajate, pa petljajte kroz verovatne vrednosti: šifrovanje 5, 7/128, 7/192, 7/256; heš 1, 2, 5, 6, 7; grupe 1, 2, 5, 14, 15, 19, 20, 21; autentifikacija 1 za unapred deljeni ključ i 3 za RSA potpise. Štampajte svaku komandu pre izvršavanja, da bi transkript pokazao šta je ponuđeno i kojim redom.

Korak 3: protumačite odgovor

Odgovor dokazuje tačno dve stvari: IKE odgovarač je dostupan na toj adresi i jedan ponuđeni predlog je bio prihvatljiv. Ne govori ništa o unapred deljenom ključu, L2TP sloju ili tome da li korisnički nalog postoji. Uspešno skeniranje je potpuno kompatibilno sa neuspehom svake kasnije faze.

Na gejtveju kojim upravljate, ovo je zaista koristan deo. Skeniranje vam kaže koje predloge uređaj još prihvata, a rezultat ograničen na nasleđene transformacije je nalaz o politici uređaja, a ne razlog da oslabite klijenta.

Korak 4: protumačite tišinu

Tišina je slabiji dokaz nego što izgleda. Svaki predlog je možda odbijen, UDP 500 i 4500 mogu biti filtrirani, izvor može biti ograničen po brzini posle rafala, ili usluga može slušati na drugoj adresi od one koju ste skenirali. Uporedite IKE dnevnik gejtveja sa klijentom koji se već povezuje sa važećim akreditivima pre nego što zaključite bilo šta o kutiji.

Ponašanje pri rafalu pripada tom spisku jer nabrajanje stvara mnogo paketa u kratkom prozoru. Gejtvej koji odgovara na prve pokušaje i zatim utihne opisuje svoju anti-DoS politiku, a ne svoj skup predloga.

Korak 5: zapišite šta ste dokazali

Zapišite prihvaćenu kombinaciju pored verzije firmvera, pa je uporedite sa transformacijama koje klijenti koji su vam važni nude podrazumevano. Jaz između te dve liste je problem konfiguracije, a skeniranje ga je samo učinilo vidljivim. Ako su jedini prihvaćeni predlozi oni koje ne biste izabrali, ispravka pripada politici gejtveja ili profilu klijenta, nikada probi.

Proba koja nikada nije odgovorila ipak je nešto odgovorila: pokazuje koje je predloge ovaj uređaj spreman da razmatra i koje bi radije pustio da padnu na pod.