share facebook facebook2 twitter menu hatena pocket slack

2013.09.04 WED

VGW(Virtual Private Gateway)に”ike-scan”してみた

鈴木 宏康

WRITTEN BY鈴木 宏康

スズキです。

ike-scan 自体は、下記の記事が参考になります。

IPsec VPN Penetration Testing with BackTrack Tools

ポイントは下記 ike-scan の実行結果の部分でしょうか?

  • 0 returned handshake; 0 returned notify
    • This means the target is not an IPsec gateway.
  • 1 returned handshake; 0 returned notify
    • This means the target is configured for IPsec and is willing to perform IKE negotiation, and either one or more of the transforms you proposed are acceptable.
  • 0 returned handshake; 1 returned notify
    • VPN gateways respond with a notify message when none of the transforms are acceptable (though some gateways do not, in which case further analysis and a revised proposal should be tried).

まずはツールのインストールです。


# yum -y install ike-scan
...

そして事前準備として、”ike-scan”を実行するサーバの”Global IP”を”Customer Gateway”として登録し、
“VPN Connection”まで作成しておきます。

ひとまず、VGW(27.0.1.16)に対して実行してみます。


# ike-scan 27.0.1.16
Starting ike-scan 1.9 with 1 hosts (http://www.nta-monitor.com/tools/ike-scan/)
27.0.1.16 Notify message 14 (NO-PROPOSAL-CHOSEN) HDR=(CKY-R=9dbe3c06f9b221ca, msgid=92fac26c)

Ending ike-scan 1.9: 1 hosts scanned in 0.015 seconds (65.52 hosts/sec). 0 returned handshake; 1 returned notify

“notify”が返ってきました。

次に、”transform”(“認証アルゴリズム”や”暗号化アルゴリズム”などの組み合わせ)を合わせて(指定して)
実行してみます。


# ike-scan 27.0.1.16 --trans="(1=7,14=128,2=2,3=1,4=2)"
Starting ike-scan 1.9 with 1 hosts (http://www.nta-monitor.com/tools/ike-scan/)
27.0.1.16 Main Mode Handshake returned HDR=(CKY-R=d9f3373e7c0b6971) SA=(Enc=AES KeyLength=128 Hash=SHA1 Auth=PSK Group=2:modp1024) VID=afcad71368a1f1c96b8696fc77570100 (Dead Peer Detection v1.0)

Ending ike-scan 1.9: 1 hosts scanned in 0.012 seconds (82.88 hosts/sec). 1 returned handshake; 0 returned notify

今度は”handshake”が返ってきました。
※ “–trans=”(1=7,14=128,2=2,3=1,4=2)”は下記のように対応しています。

1=7 Enc=AES
14=128 KeyLength=128
2=2 Hash=SHA1
3=1 Auth=PSK
4=2 Group=2:modp1024

以上になります。
VPCとVPN接続できない場合は”ike-scan”で確認するのがよいかもしれません。

こちらの記事はなかの人(suz-lab)監修のもと掲載しています。
元記事は、こちら

鈴木 宏康

鈴木 宏康

愛知県生まれ。東京工業大学大学院修士課程修了。在学時より、ベンチャー企業でインターネットに関する業務に携わり、現在はクラウド(主にAmazon Web Services)上での開発・運用を軸とした事業の、業務の中心として活躍。