ike-scan ishlab turgan IPsec shlyuzidan javob olmayapti

Shlyuz har kuni telefonlar va noutbuklarga xizmat qiladi, ammo ike-scan hech bir xost javob bermaganini xabar qiladi. Bu chiqish qurilmada IPsec yo‘qligining isbotiday o‘qiladi. Odatda bu qurilma zondagi har bir taklifni tashlab yuborgani va hech narsaga javob bermaslikni tanlaganini bildiradi. Sukunat ham javob, va bu vosita sizga bera oladigan eng kam ma’lumotli javob.

Uchta alohida savolni ko‘rib chiqing: paket yetib keldimi, biron taklif mos keldimi va boshqa narsa hamkorni rad etdimi?

1-qadam: vosita yuboradigan taklifni o‘qing

Asosiy rejim tashabbuskor qabul qiladigan transformatsiyalarni sanab beruvchi SA yuklamasidan boshlanadi va ike-scan bu ro‘yxatni kompilyatsiya qilingan standartdan to‘ldiradi. Standart to‘plam ataylab eski: shifrlash uchun DES va 3DES, xeshlash uchun MD5 va SHA1, kalit almashinuvi uchun 1 va 2 guruhlari, autentifikatsiya uchun oldindan ulashilgan kalitlar. AES yo‘q, SHA-2 yo‘q, 14-guruh yo‘q. AES-256, SHA-256 va modp2048 uchun sozlangan shlyuz u bilan hech narsa bo‘lishmaydi.

Ba’zi ilovalar mos kelmagan zondga NO-PROPOSAL-CHOSEN bildirishnomasi bilan javob beradi. Boshqalari uni shunchaki tashlab yuboradi, bu noma’lum hamkorlarni shovqin deb hisoblaydigan qurilmalarda odatiy. Qanday bo‘lmasin, skaner hech narsa chop etmaydi va bu «hech narsa» tashqaridan ko‘rinadigan filtrlangan UDP 500 bilan aynan bir xil, deb ike-scan loyihasi hujjati standart to‘plam haqida aniq aytadi.

2-qadam: zamonaviy bitta taklif bering

Standart to‘plamni --trans bilan almashtiring. Atribut shakli IKE atribut raqamlarini to‘g‘ridan-to‘g‘ri oladi: shifrlash uchun 1, xesh uchun 2, autentifikatsiya uchun 3, guruh uchun 4 va algoritm uni qabul qilsa, kalit uzunligi uchun 14. Chiqadigan narsa o‘zgarishlar ko‘rib chiqishida ovoz chiqarib o‘qiladigan bitta satr.

Pozitsion shakl o‘sha qiymatlarni tartib bilan olib yuradi va qavslardan qochadi, bu buyruq qobiq orqali o‘tganda muhim.

ike-scan --trans="(1=7,14=256,2=5,3=1,4=14)" 203.0.113.10

Har bir paketga bitta taklif sanaganda sekin, shuning uchun ehtimoliy qiymatlar bo‘ylab aylaning: shifrlash 5, 7/128, 7/192, 7/256; xesh 1, 2, 5, 6, 7; guruhlar 1, 2, 5, 14, 15, 19, 20, 21; autentifikatsiya oldindan ulashilgan kalit uchun 1 va RSA imzolari uchun 3. Har bir buyruqni ishga tushirishdan oldin chop eting, shunda transkript nima taklif qilinganini va qanday tartibda ekanini ko‘rsatadi.

3-qadam: javobni talqin qiling

Javob aynan ikki narsani isbotlaydi: o‘sha manzilda IKE javob beruvchisiga yetib borish mumkin va taklif qilingan bitta taklif maqbul edi. U oldindan ulashilgan kalit, L2TP qatlami yoki foydalanuvchi hisobi mavjudligi haqida hech narsa aytmaydi. Muvaffaqiyatli skan keyingi har bir bosqichning muvaffaqiyatsizligi bilan to‘liq mos keladi.

Siz boshqaradigan shlyuzda bu haqiqatan foydali qism. Skan qurilma hali qaysi takliflarni qabul qilishini aytadi va eski transformatsiyalar bilan cheklangan natija qurilma siyosati haqidagi topilma, mijozni zaiflashtirish uchun sabab emas.

4-qadam: sukunatni talqin qiling

Sukunat ko‘rinadiganidan zaifroq dalil. Har bir taklif rad etilgan bo‘lishi mumkin, UDP 500 va 4500 filtrlangan bo‘lishi mumkin, manba portlashdan keyin tezlik bilan cheklangan bo‘lishi mumkin yoki xizmat siz skanerlagan manzildan boshqa manzilda tinglayotgan bo‘lishi mumkin. Quti haqida biror xulosa qilishdan oldin shlyuzning IKE jurnalini allaqachon haqiqiy hisob ma’lumotlari bilan ulanayotgan mijoz bilan solishtiring.

Portlash xatti-harakati o‘sha ro‘yxatga kiradi, chunki sanash qisqa oynada ko‘p paket yaratadi. Birinchi urinishlarga javob berib, keyin jim bo‘lib qoladigan shlyuz o‘zining takliflar to‘plamini emas, anti-DoS siyosatini tasvirlayapti.

5-qadam: nimani isbotlaganingizni yozib qo‘ying

Qabul qilingan birikmani proshivka versiyasi yoniga yozing, so‘ng uni sizga muhim bo‘lgan mijozlar standart ravishda taklif qiladigan transformatsiyalar bilan solishtiring. O‘sha ikki ro‘yxat orasidagi tafovut konfiguratsiya muammosi, skan esa uni faqat ko‘rinadigan qildi. Agar qabul qilinadigan yagona takliflar siz tanlamaydiganlari bo‘lsa, tuzatish shlyuz siyosatiga yoki mijoz profiliga tegishli, hech qachon zondga emas.

Hech qachon javob bermagan zond ham nimagadir javob berdi: u bu qurilma qaysi takliflarni muhokama qilishga tayyorligini va qaysilarini yerga tashlashni afzal ko‘rishini ko‘rsatadi.