ike-scan nuk merr përgjigje nga një gateway IPsec që funksionon

Gateway-i u shërben telefonave dhe laptopëve çdo ditë, megjithatë ike-scan raporton se asnjë host nuk u përgjigj. Ai dalje lexohet si provë se IPsec mungon në pajisje. Zakonisht do të thotë se pajisja hodhi poshtë çdo propozim në sondë dhe zgjodhi të mos përgjigjet asgjë. Heshtja është gjithashtu një përgjigje, dhe është përgjigjja më pak informuese që mjeti mund t'ju japë.

Kaloni nëpër tri pyetje të ndara: a mbërriti paketa, a përputhej ndonjë propozim dhe a refuzoi diçka tjetër partnerin?

Hapi 1: lexoni propozimin që dërgon mjeti

Modaliteti kryesor fillon me një ngarkesë SA që rendit transformimet që iniciatori do të pranojë, dhe ike-scan e plotëson atë listë nga një paracaktim i përpiluar. Grupi i paracaktuar është qëllimisht i vjetër: DES dhe 3DES për kriptim, MD5 dhe SHA1 për hashing, grupet 1 dhe 2 për shkëmbimin e çelësave, çelësat e para-ndarë për autentikim. Asnjë AES, asnjë SHA-2, asnjë grup 14. Një gateway i konfiguruar për AES-256 me SHA-256 dhe modp2048 nuk ndan asgjë me të.

Disa zbatime i përgjigjen një sonde që nuk përputhet me një njoftim NO-PROPOSAL-CHOSEN. Të tjerë thjesht e hedhin poshtë, gjë e zakonshme në pajisjet që i trajtojnë partnerët e panjohur si zhurmë. Sido që të jetë, skanimi nuk shtyp asgjë, dhe ai asgjë është identike me atë si duket nga jashtë një UDP 500 i filtruar, siç dokumentacioni i projektit ike-scan e bën të qartë për grupin e paracaktuar.

Hapi 2: ofroni një propozim modern

Zëvendësoni grupin e paracaktuar me --trans. Forma me atribute merr drejtpërdrejt numrat e atributeve IKE: 1 për kriptim, 2 për hash, 3 për autentikim, 4 për grupin dhe 14 për gjatësinë e çelësit kur algoritmi merr një. Ajo që del është një rresht që mund ta lexoni me zë të lartë në një rishikim ndryshimesh.

Forma pozicionale mbart të njëjtat vlera sipas radhës dhe shmang kllapat, gjë që ka rëndësi kur komanda kalon nëpër një shell.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Një propozim për paketë është i ngadaltë kur numëroni, prandaj përsëritni vlerat e mundshme: kriptim 5, 7/128, 7/192, 7/256; hash 1, 2, 5, 6, 7; grupe 1, 2, 5, 14, 15, 19, 20, 21; autentikim 1 për një çelës të para-ndarë dhe 3 për nënshkrime RSA. Shtypni çdo komandë përpara se ta ekzekutoni, që transkripti të tregojë çfarë u ofrua dhe në çfarë radhe.

Hapi 3: interpretoni një përgjigje

Një përgjigje provon saktësisht dy gjëra: një përgjigjës IKE është i arritshëm në atë adresë dhe një propozim i ofruar ishte i pranueshëm. Nuk thotë asgjë për çelësin e para-ndarë, shtresën L2TP apo nëse ekziston një llogari përdoruesi. Një skanim i suksesshëm është plotësisht i pajtueshëm me dështimin e çdo faze pasuese.

Në një gateway që administroni, kjo është pjesa vërtet e dobishme. Skanimi ju tregon cilat propozime pajisja ende i pranon, dhe një rezultat i kufizuar te transformimet e vjetra është një gjetje për politikën e pajisjes, jo një arsye për të dobësuar klientin.

Hapi 4: interpretoni heshtjen

Heshtja është provë më e dobët sesa duket. Çdo propozim mund të jetë refuzuar, UDP 500 dhe 4500 mund të jenë filtruar, burimi mund të jetë kufizuar në shpejtësi pas një shpërthimi, ose shërbimi mund të dëgjojë në një adresë tjetër nga ajo që skanuat. Krahasoni regjistrin IKE të gateway-it me një klient që tashmë lidhet me kredenciale të vlefshme përpara se të nxirrni ndonjë përfundim për kutinë.

Sjellja e shpërthimit i takon atij listi sepse numërimi gjeneron shumë paketa në një dritare të shkurtër. Një gateway që përgjigjet përpyerjeve të para dhe pastaj hesht po përshkruan politikën e tij anti-DoS, jo grupin e propozimeve.

Hapi 5: shkruani atë që provuat

Shkruani kombinimin e pranuar pranë versionit të firmware-it, pastaj krahasojeni me transformimet që klientët që ju interesojnë ofrojnë si parazgjedhje. Hendeku midis atyre dy listave është problemi i konfigurimit, dhe skanimi vetëm e bëri atë të dukshëm. Nëse propozimet e vetme të pranuara janë ato që nuk do të zgjidhnit, korrigjimi i takon politikës së gateway-it ose një profili klienti, kurrë sondës.

Një sondë që nuk u përgjigj kurrë ka përgjigjur gjithsesi diçka: tregon cilat propozime kjo pajisje është e gatshme të diskutojë dhe cilat do të preferonte t'i lërë të bien në dysheme.