ike-scan çalışan bir IPsec ağ geçidinden yanıt alamıyor

Ağ geçidi her gün telefonlara ve dizüstü bilgisayarlara hizmet ediyor, ancak ike-scan hiçbir ana makinenin yanıt vermediğini bildiriyor. Bu çıktı, cihazda IPsec olmadığının kanıtı gibi okunur. Genellikle bu, cihazın sondaya konan her öneriyi attığı ve hiçbir şeye yanıt vermemeyi seçtiği anlamına gelir. Sessizlik de bir yanıttır ve aracın size verebileceği en az bilgilendirici yanıttır.

Üç ayrı soruyu ele alın: paket ulaştı mı, herhangi bir öneri eşleşti mi ve başka bir şey karşı tarafı reddetti mi?

Adım 1: aracın gönderdiği öneriyi okuyun

Ana mod, başlatıcının kabul edeceği dönüşümleri listeleyen bir SA yüküyle başlar ve ike-scan bu listeyi derlenmiş bir varsayılandan doldurur. Varsayılan küme kasıtlı olarak eskidir: şifreleme için DES ve 3DES, karma için MD5 ve SHA1, anahtar değişimi için 1 ve 2 grupları, kimlik doğrulama için önceden paylaşılan anahtarlar. AES yok, SHA-2 yok, grup 14 yok. AES-256 ile SHA-256 ve modp2048 için yapılandırılmış bir ağ geçidi onunla hiçbir şey paylaşmaz.

Bazı uygulamalar eşleşmeyen sondaya NO-PROPOSAL-CHOSEN bildirimiyle yanıt verir. Diğerleri onu öylece atar; bu, bilinmeyen karşı tarafları gürültü sayan cihazlarda yaygındır. Her iki durumda da tarama hiçbir şey yazdırmaz ve bu hiçbir şey, dışarıdan bakıldığında filtrelenmiş bir UDP 500'ün görünümüyle aynıdır; ike-scan projesi belgeleri bunu varsayılan küme için açıkça belirtir.

Adım 2: modern bir öneri sunun

Varsayılan kümeyi --trans ile değiştirin. Öznitelik biçimi IKE öznitelik numaralarını doğrudan alır: şifreleme için 1, karma için 2, kimlik doğrulama için 3, grup için 4 ve algoritma bir tane aldığında anahtar uzunluğu için 14. Ortaya çıkan, bir değişiklik incelemesinde yüksek sesle okuyabileceğiniz bir satırdır.

Konumsal biçim aynı değerleri sırayla taşır ve parantezlerden kaçınır; bu, komut bir kabuktan geçtiğinde önemlidir.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Her paket için tek öneri, numaralandırırken yavaştır, bu yüzden olası değerler üzerinde döngü yapın: şifreleme 5, 7/128, 7/192, 7/256; karma 1, 2, 5, 6, 7; gruplar 1, 2, 5, 14, 15, 19, 20, 21; kimlik doğrulama önceden paylaşılan anahtar için 1 ve RSA imzaları için 3. Her komutu çalıştırmadan önce yazdırın, böylece döküm neyin hangi sırayla önerildiğini göstersin.

Adım 3: bir yanıtı yorumlayın

Bir yanıt tam olarak iki şeyi kanıtlar: o adreste erişilebilir bir IKE yanıtlayıcısı vardır ve sunulan önerilerden biri kabul edilebilirdi. Önceden paylaşılan anahtar, L2TP katmanı veya bir kullanıcı hesabının var olup olmadığı hakkında hiçbir şey söylemez. Başarılı bir tarama, sonraki her aşamanın başarısız olmasıyla tamamen uyumludur.

İşlettiğiniz bir ağ geçidinde gerçekten yararlı olan kısım burasıdır. Tarama, cihazın hangi önerileri hâlâ kabul ettiğini söyler ve eski dönüşümlerle sınırlı bir sonuç, cihaz politikası hakkında bir bulgudur, istemciyi zayıflatmak için bir neden değildir.

Adım 4: sessizliği yorumlayın

Sessizlik göründüğünden daha zayıf bir kanıttır. Her öneri reddedilmiş olabilir, UDP 500 ve 4500 filtrelenmiş olabilir, kaynak bir patlamadan sonra hız sınırına takılmış olabilir veya hizmet taradığınızdan farklı bir adreste dinliyor olabilir. Bu kutu hakkında herhangi bir sonuca varmadan önce ağ geçidinin IKE günlüğünü geçerli kimlik bilgileriyle zaten bağlanan bir istemciyle karşılaştırın.

Patlama davranışı bu listeye aittir çünkü numaralandırma kısa bir pencerede çok sayıda paket üretir. İlk denemelere yanıt verip sonra susan bir ağ geçidi, öneri kümesini değil anti-DoS politikasını anlatıyordur.

Adım 5: neyi kanıtladığınızı kaydedin

Kabul edilen bileşimi ürün yazılımı sürümünün yanına yazın, ardından önemsediğiniz istemcilerin varsayılan olarak sunduğu dönüşümlerle karşılaştırın. Bu iki liste arasındaki fark yapılandırma sorunudur ve tarama onu yalnızca görünür kıldı. Kabul edilen tek öneriler seçmeyeceğiniz türdense, düzeltme ağ geçidi politikasına veya bir istemci profiline aittir, asla sondalamaya değil.

Hiç yanıt vermeyen bir sonda yine de bir şeye yanıt vermiştir: bu cihazın hangi önerileri tartışmaya istekli olduğunu ve hangilerini yere düşürmeyi tercih edeceğini gösterir.