ike-scan ne prejme odgovora od delujočega prehoda IPsec

Prehod vsak dan streže telefonom in prenosnikom, a ike-scan poroča, da se ni odzval noben gostitelj. Ta izpis se bere kot dokaz, da v napravi ni IPsec. Običajno to pomeni, da je naprava zavrgla vsak predlog v sondi in se odločila, da ne bo odgovorila na nič. Tišina je tudi odgovor in je najmanj informativen odgovor, ki ga orodje lahko da.

Pojdite skozi tri ločena vprašanja: je paket prispel, se je ujemal kateri predlog in je kaj drugega zavrnilo partnerja?

Korak 1: preberite predlog, ki ga orodje pošilja

Glavni način se začne z koristnim bremenom SA, ki našteva transformacije, ki jih bo pobudnik sprejel, in ike-scan ta seznam napolni iz prevedene privzete vrednosti. Privzeti nabor je namerno star: DES in 3DES za šifriranje, MD5 in SHA1 za zgoščevanje, skupini 1 in 2 za izmenjavo ključev, vnaprej deljeni ključi za preverjanje pristnosti. Nobenega AES, nobenega SHA-2, nobene skupine 14. Prehod, nastavljen za AES-256 s SHA-256 in modp2048, z njim ne deli ničesar.

Nekatere izvedbe na neujemajočo se sondo odgovorijo z obvestilom NO-PROPOSAL-CHOSEN. Druge jo preprosto zavržejo, kar je pogosto pri napravah, ki neznane partnerje obravnavajo kot šum. Kakor koli že, skeniranje ne izpiše ničesar in to nič je enako temu, kako od zunaj izgleda filtriran UDP 500, kot dokumentacija projekta ike-scan jasno navaja glede privzetega nabora.

Korak 2: ponudite sodoben predlog

Zamenjajte privzeti nabor z --trans. Oblika z atributi neposredno sprejme številke atributov IKE: 1 za šifriranje, 2 za zgoščevanje, 3 za preverjanje pristnosti, 4 za skupino in 14 za dolžino ključa, ko jo algoritem sprejme. Rezultat je vrstica, ki jo lahko preberete na glas pri pregledu sprememb.

Položajna oblika prenaša enake vrednosti po vrsti in se izogne oklepajem, kar je pomembno, ko ukaz potuje skozi lupino.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

En predlog na paket je pri naštevanju počasen, zato ponavljajte verjetne vrednosti: šifriranje 5, 7/128, 7/192, 7/256; zgoščevanje 1, 2, 5, 6, 7; skupine 1, 2, 5, 14, 15, 19, 20, 21; preverjanje pristnosti 1 za vnaprej deljeni ključ in 3 za podpise RSA. Izpišite vsak ukaz pred izvedbo, da bo prepis pokazal, kaj je bilo ponujeno in v kakšnem vrstnem redu.

Korak 3: razložite odgovor

Odgovor dokazuje natanko dve stvari: odzivnik IKE je dosegljiv na tem naslovu in en ponujeni predlog je bil sprejemljiv. Ne pove ničesar o vnaprej deljenem ključu, plasti L2TP ali o tem, ali uporabniški račun obstaja. Uspešno skeniranje je popolnoma združljivo z neuspehom vsake naslednje stopnje.

Na prehodu, ki ga upravljate, je to resnično uporabni del. Skeniranje vam pove, katere predloge naprava še sprejema, in rezultat, omejen na stare transformacije, je ugotovitev o politiki naprave, ne razlog za oslabitev odjemalca.

Korak 4: razložite tišino

Tišina je šibkejši dokaz, kot se zdi. Vsak predlog je bil morda zavrnjen, UDP 500 in 4500 sta morda filtrirana, vir je morda po izbruhu omejen glede na hitrost ali pa storitev morda posluša na drugem naslovu, kot ste ga skenirali. Primerjajte dnevnik IKE prehoda z odjemalcem, ki se že povezuje z veljavnimi poverilnicami, preden o tej škatli karkoli sklepate.

Vedenje ob izbruhu sodi na ta seznam, ker naštevanje ustvari veliko paketov v kratkem oknu. Prehod, ki odgovori na prve poskuse in nato utihne, opisuje svojo politiko anti-DoS, ne svojega nabora predlogov.

Korak 5: zapišite, kaj ste dokazali

Zapišite sprejeto kombinacijo poleg različice vdelane programske opreme, nato jo primerjajte s transformacijami, ki jih odjemalci, ki so vam pomembni, ponujajo privzeto. Razlika med tema dvema seznamoma je konfiguracijska težava in skeniranje jo je le naredilo vidno. Če so edini sprejeti predlogi tisti, ki jih ne bi izbrali, popravek sodi v politiko prehoda ali v profil odjemalca, nikoli v sondo.

Sonda, ki ni nikoli odgovorila, je vseeno na nekaj odgovorila: kaže, katere predloge je ta naprava pripravljena razpravljati in katere bi raje spustila na tla.