ike-scan nedostáva odpoveď od funkčnej brány IPsec

Brána každý deň obsluhuje telefóny a notebooky, no ike-scan hlási, že neodpovedal žiadny hostiteľ. Ten výstup sa číta ako dôkaz, že v zariadení chýba IPsec. Zvyčajne to znamená, že zariadenie zahodilo každú ponuku v sonde a rozhodlo sa neodpovedať na nič. Ticho je tiež odpoveď a je to najmenej informatívna odpoveď, akú vám nástroj môže dať.

Prejdite tri samostatné otázky: dorazil paket, zhodovala sa niektorá ponuka a odmietlo niečo iné partnera?

Krok 1: prečítajte si ponuku, ktorú nástroj posiela

Hlavný režim začína užitočným zaťažením SA, ktoré uvádza transformácie, ktoré iniciátor prijme, a ike-scan dopĺňa ten zoznam zo skompilovanej predvolenej hodnoty. Predvolená sada je zámerne stará: DES a 3DES na šifrovanie, MD5 a SHA1 na hashovanie, skupiny 1 a 2 na výmenu kľúčov, vopred zdieľané kľúče na autentifikáciu. Žiadny AES, žiadny SHA-2, žiadna skupina 14. Brána nakonfigurovaná na AES-256 s SHA-256 a modp2048 s ním nič nezdieľa.

Niektoré implementácie odpovedajú na nezhodnú sondu oznámením NO-PROPOSAL-CHOSEN. Iné ju jednoducho zahodia, čo je bežné na zariadeniach, ktoré neznámych partnerov považujú za šum. Tak či tak sken nič nevypíše a to nič je identické s tým, ako zvonku vyzerá filtrovaný UDP 500, ako dokumentácia projektu ike-scan jasne uvádza k predvolenej sade.

Krok 2: ponúknite jednu modernú ponuku

Nahraďte predvolenú sadu cez --trans. Forma atribútov berie čísla atribútov IKE priamo: 1 na šifrovanie, 2 na hash, 3 na autentifikáciu, 4 na skupinu a 14 na dĺžku kľúča, keď ju algoritmus berie. Výsledkom je riadok, ktorý môžete nahlas prečítať pri kontrole zmien.

Pozičná forma nesie rovnaké hodnoty v poradí a vyhýba sa zátvorkám, čo je dôležité, keď príkaz prechádza cez shell.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Jedna ponuka na paket je pri vymenúvaní pomalá, preto opakujte pravdepodobné hodnoty: šifrovanie 5, 7/128, 7/192, 7/256; hash 1, 2, 5, 6, 7; skupiny 1, 2, 5, 14, 15, 19, 20, 21; autentifikácia 1 pre vopred zdieľaný kľúč a 3 pre podpisy RSA. Vypíšte každý príkaz pred spustením, aby prepis ukázal, čo bolo ponúknuté a v akom poradí.

Krok 3: interpretujte odpoveď

Odpoveď dokazuje presne dve veci: IKE respondér je dostupný na tej adrese a jedna ponúknutá ponuka bola prijateľná. Nič nehovorí o vopred zdieľanom kľúči, vrstve L2TP ani o tom, či existuje používateľský účet. Úspešný sken je úplne zlučiteľný so zlyhaním každého ďalšieho kroku.

Na bráne, ktorú spravujete, je toto naozaj užitočná časť. Sken vám povie, ktoré ponuky zariadenie ešte prijíma, a výsledok obmedzený na staré transformácie je zistenie o politike zariadenia, nie dôvod oslabiť klienta.

Krok 4: interpretujte ticho

Ticho je slabší dôkaz, než sa zdá. Každá ponuka mohla byť odmietnutá, UDP 500 a 4500 môžu byť filtrované, zdroj môže byť po záplave obmedzený rýchlosťou alebo služba môže počúvať na inej adrese, než akú ste skenovali. Porovnajte IKE log brány s klientom, ktorý sa už pripája s platnými prihlasovacími údajmi, skôr než o tom zariadení čokoľvek uzavriete.

Správanie pri záplave patrí do toho zoznamu, pretože vymenúvanie generuje veľa paketov v krátkom okne. Brána, ktorá odpovedá na prvé pokusy a potom stíchne, opisuje svoju anti-DoS politiku, nie svoju sadu ponúk.

Krok 5: zapíšte, čo ste dokázali

Napíšte prijatú kombináciu vedľa verzie firmvéru a potom ju porovnajte s transformáciami, ktoré klienti, na ktorých vám záleží, ponúkajú predvolene. Medzera medzi týmito dvoma zoznamami je problém konfigurácie a sken ju iba zviditeľnil. Ak sú jediné prijímané ponuky tie, ktoré by ste si nevybrali, oprava patrí do politiky brány alebo do profilu klienta, nikdy do sondy.

Sonda, ktorá nikdy neodpovedala, predsa na niečo odpovedala: ukazuje, ktoré ponuky je toto zariadenie ochotné diskutovať a ktoré by radšej nechalo spadnúť na podlahu.