Walang natatanggap na tugon ang ike-scan mula sa gumaganang IPsec gateway

Naglingkod ang gateway sa mga telepono at laptop araw-araw, ngunit iniuulat ng ike-scan na walang host na tumugon. Ang output na iyon ay binabasa na parang patunay na wala ang IPsec sa device. Karaniwang ibig sabihin nito ay itinapon ng device ang bawat panukala sa probe at piniling huwag tumugon sa anuman. Ang katahimikan ay tugon din, at ito ang pinakakaunting impormasyong tugon na maibibigay sa iyo ng tool.

Pagdaanan ang tatlong magkahiwalay na tanong: dumating ba ang packet, may tumugma bang panukala, at may iba bang tumanggi sa peer?

Hakbang 1: basahin ang panukalang ipinapadala ng tool

Nagsisimula ang pangunahing mode sa isang SA payload na naglilista ng mga transpormasyong tatanggapin ng initiator, at pinupunan ng ike-scan ang listahang iyon mula sa isang compile na default. Ang default na set ay sadyang luma: DES at 3DES para sa encryption, MD5 at SHA1 para sa hashing, mga pangkat 1 at 2 para sa palitan ng key, mga key na naibahagi nang maaga para sa authentication. Walang AES, walang SHA-2, walang pangkat 14. Ang isang gateway na naka-configure para sa AES-256 na may SHA-256 at modp2048 ay walang ibinabahagi dito.

Ang ilang implementasyon ay tumutugon sa hindi tugmang probe gamit ang abiso ng NO-PROPOSAL-CHOSEN. Ang iba ay itinatapon lang ito, na karaniwan sa mga appliance na itinuturing na ingay ang hindi kilalang peer. Alinman sa dalawa, walang ipinapasa ang scan, at ang wala ay kapareho ng hitsura ng isang na-filter na UDP 500 mula sa labas, gaya ng nililinaw ng dokumentasyon ng proyektong ike-scan tungkol sa default na set.

Hakbang 2: mag-alok ng isang modernong panukala

Palitan ang default na set ng --trans. Ang anyo ng attribute ay direktang kumukuha ng mga numero ng attribute ng IKE: 1 para sa encryption, 2 para sa hash, 3 para sa authentication, 4 para sa pangkat at 14 para sa haba ng key kapag kumukuha ito ng isa. Ang lumalabas ay isang linyang mababasa mo nang malakas sa isang pagsusuri ng pagbabago.

Dinadala ng posisyonal na anyo ang parehong mga halaga sa ayos at iniiwasan ang mga bracket, na mahalaga kapag dumadaan ang command sa isang shell.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Mabagal ang isang panukala bawat packet kapag nag-eenumerate ka, kaya i-loop ang mga makatwirang halaga: encryption 5, 7/128, 7/192, 7/256; hash 1, 2, 5, 6, 7; mga pangkat 1, 2, 5, 14, 15, 19, 20, 21; authentication 1 para sa key na naibahagi nang maaga at 3 para sa mga lagda ng RSA. I-print ang bawat command bago ito patakbuhin upang ipakita ng transcript kung ano ang inalok at sa anong ayos.

Hakbang 3: bigyang-kahulugan ang tugon

Ang tugon ay nagpapatunay ng eksaktong dalawang bagay: may maabot na IKE responder sa address na iyon, at isang inalok na panukala ang katanggap-tanggap. Wala itong sinasabi tungkol sa key na naibahagi nang maaga, sa layer ng L2TP o kung may umiiral na account ng user. Ang matagumpay na scan ay ganap na tugma sa pagpalya ng bawat susunod na yugto.

Sa isang gateway na pinamamahalaan mo, ito ang tunay na kapaki-pakinabang na bahagi. Sinasabi ng scan kung aling mga panukala ang tinatanggap pa ng device, at ang resultang limitado sa mga lumang transpormasyon ay isang natuklasan tungkol sa patakaran ng device, hindi dahilan para pahinain ang kliyente.

Hakbang 4: bigyang-kahulugan ang katahimikan

Ang katahimikan ay mas mahinang ebidensya kaysa sa itsura nito. Maaaring tinanggihan ang bawat panukala, maaaring na-filter ang UDP 500 at 4500, maaaring na-rate-limit ang pinagmulan pagkatapos ng burst, o maaaring makinig ang serbisyo sa ibang address kaysa sa na-scan mo. Ihambing ang log ng IKE ng gateway sa isang kliyenteng nakakonekta na gamit ang valid na kredensyal bago ka maghinuha ng anuman tungkol sa kahon.

Ang pag-uugali sa burst ay kabilang sa listahang iyon dahil maraming packet ang nabubuo ng enumeration sa maikling window. Ang gateway na tumutugon sa mga unang pagtatangka at pagkatapos ay tahimik ay naglalarawan ng patakaran nitong anti-DoS, hindi ng set ng panukala nito.

Hakbang 5: itala ang napatunayan mo

Isulat ang tinanggap na kombinasyon sa tabi ng bersyon ng firmware, pagkatapos ay ihambing ito sa mga transpormasyong inaalok bilang default ng mga kliyenteng mahalaga sa iyo. Ang agwat ng dalawang listahan ay ang problema sa configuration, at ang scan ay ginawa lamang itong nakikita. Kung ang tanging tinatanggap na panukala ay ang hindi mo pipiliin, ang pagwawasto ay nasa patakaran ng gateway o sa profile ng kliyente, hindi kailanman sa probe.

Ang probe na hindi kailanman tumugon ay tumugon pa rin sa isang bagay: ipinapakita nito kung aling mga panukala ang handang pag-usapan ng device na ito, at alin ang mas gusto nitong ihulog sa sahig.