vpnc teen Check Point of Nortel: waarom dit hang

Die simptoom is maklik om verkeerd te lees: vpnc begin, vra vir die groepswoord, en sit dan by ’n onderhandelingsstap totdat dit geen antwoord van die teiken rapporteer nie. Niks in die uitset noem die hekproduk nie, en die rekening werk vanuit ’n blaaier, so die voor die hand liggende gevolgtrekking is ’n verkeerde wagwoord of ’n geblokkeerde poort. In die meeste van hierdie gevalle is die hek glad nie ’n IPsec-eweknie nie, so die uitruiling kom nooit ver genoeg om geloofsbriewe te toets nie. Daardie patroon is die moeite werd om te toets voordat enigiets anders in die profiel verander.

Identifiseer die produk voordat jy nog ’n profielveld wysig.

Die mislukking lyk soos slegte geloofsbriewe

vpnc begin deur IKE na UDP 500 te stuur en, as NAT-traversering aangebied word, na UDP 4500. ’n Hek wat SSL eerder as IPsec termineer, antwoord nie een van die twee nie, so die kliënt probeer weer en gee uiteindelik met ’n algemene fout op. As dieselfde rekening deur ’n blaaierportaal werk wat ’n klein hulpprogram laai, is dit ’n sterk aanduiding dat die tonnel op SSL gebaseer is en dat die kliënt die verkeerde vraag vra.

’n Mislukte poging hier sê niks oor die gebruikerrekening nie, want geen geloofsbrief is ooit aan die hek voorgehou nie.

Kyk watter protokol die hek aanbied

Twee minute se ondersoek skei ’n IPsec-eweknie van ’n SSL-portaal. Voer dit uit vanaf dieselfde netwerk wat die kliënt gaan gebruik, en lees watter poorte antwoord eerder as watter poorte in ’n dokument verskyn. Hou die resultaat, want dieselfde poorte bepaal watter kliënt die hekeienaar moet ondersteun. Ondersoek vanaf die kliëntnetwerk eerder as vanaf ’n gasheer langs die hek.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

’n Oop 443 met ’n herleiding na ’n aanmeldbladsy en stilte op 500 en 4500 dui op ’n SSL VPN. Oop 500 en 4500 met ’n sertifikaat wat op 443 bedien word, dui op ’n IPsec-hek wat ook ’n webfrontend het, wat die geval is waarvoor vpnc gebou is.

Check Point se SSL Network Extender en Nortel se Aventail-kliënt val albei in die tweede kategorie, en nie een aanvaar ’n IKEv1-groepsgeheim nie.

Wat vpnc se profiel kan en nie kan uitdruk nie

Onder die oppervlak voer vpnc IKEv1 teen ’n groep-voorafgedeelde sleutel uit, en stuur dan die individuele gebruiker se geloofsbriewe deur XAuth. Alles in sy konfigurasielêer hoort by daardie uitruiling: hek, groepsnaam, groepsgeheim, gebruikersnaam en gebruikerswagwoord. Daardie velde beskryf een protokol, en geen kombinasie daarvan kan die kliënt ’n ander laat praat nie.

Daarom maak die uitbrei van die syferlys of die uitskakel van sertifikaattoetse nooit hierdie soort mislukking reg nie. Daardie veranderings verswak ’n onderhandeling waarna die hek nie luister nie.

Kies die kliënt wat by die hek pas

Vir ’n Check Point-hek, gebruik die SNX-pakket wat vir daardie hekvrystelling gebou is, wat die verskaffer saam met sy dokumentasie vir afstandtoegang publiseer. Ouer SNX-bouwe misluk dikwels op huidige verspreidings omdat hulle 32-bit biblioteke verwag wat nie meer geïnstalleer is nie, en om ’n verlate pakket te lap is gewoonlik slegter as om die ondersteunde kliënt op ’n ondersteunde platform te laat loop.

Aventail-kliënte het lank gelede ondersteuning verloor. Waar so ’n hek nog in diens is, is die realistiese keuses die blaaierportaal as die organisasie dit aanbied, of die verskaffer se ondersteunde kliënt op ’n ondersteunde bedryfstelsel.

Vra die hekeienaar vir die produk en weergawe, die kliënt wat hulle op Linux ondersteun, en of daar hoegenaamd ’n IPsec-profiel bestaan. As daar een is, vra die groepidentifiseerder en groepsgeheim as aparte items, want hulle is nie die gebruikerswagwoord nie en ’n omgeruilde paar is die ander algemene oorsaak van ’n mislukte tonnel. Wanneer ’n verbinding uiteindelik slaag, teken aan watter protokol onderhandel is sodat die volgende persoon van ’n feit begin eerder as om dieselfde raaiskoot te herhaal.