vpnc Check Point və ya Nortel qarşısında: niyə donur

Simptomu səhv oxumaq asandır: vpnc başlayır, qrup parolunu soruşur, sonra hədəfdən cavab olmadığını bildirənə qədər danışıq addımında qalır. Çıxışda şlüz məhsulu barədə heç nə deyilmir, hesab isə brauzerdən işləyir, ona görə aşkar nəticə səhv parol və ya bağlanmış portdur. Bu halların çoxunda şlüz ümumiyyətlə IPsec həmkarı deyil, ona görə mübadilə etimadnamələri yoxlamağa çatmır. Bu nümunəni profildə başqa bir şey dəyişməzdən əvvəl yoxlamağa dəyər.

Başqa profil sahəsini redaktə etməzdən əvvəl məhsulu müəyyən edin.

Uğursuzluq səhv etimadnamələr kimi görünür

vpnc IKE-ni UDP 500-ə, NAT keçidi təklif olunursa, UDP 4500-ə göndərməklə başlayır. IPsec yerinə SSL-i sonlandıran şlüz heç birinə cavab vermir, ona görə klient yenidən cəhd edir və sonda ümumi xəta ilə əl çəkir. Eyni hesab kiçik köməkçi proqram yükləyən brauzer portalı vasitəsilə işləyirsə, bu, tunelin SSL əsaslı olduğuna və klientin səhv sual verdiyinə dair güclü işarədir.

Buradakı uğursuz cəhd istifadəçi hesabı barədə heç nə demir, çünki şlüzə heç bir etimadnamə təqdim olunmayıb.

Şlüzün hansı protokolu təklif etdiyini yoxlayın

İki dəqiqəlik yoxlama IPsec həmkarını SSL portalından ayırır. Bunları klientin istifadə edəcəyi şəbəkədən işə salın və sənəddə hansı portların göründüyünü deyil, hansı portların cavab verdiyini oxuyun. Nəticəni saxlayın, çünki həmin portlar şlüz sahibinin hansı klienti dəstəkləməli olduğunu müəyyən edir. Şlüzün yanındakı hostdan deyil, klient şəbəkəsindən yoxlayın.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Giriş səhifəsinə yönləndirmə ilə açıq 443 və 500 ilə 4500-də sükut SSL VPN göstərir. 443-də təqdim olunan sertifikatla açıq 500 və 4500, həm də veb interfeysi işlədən IPsec şlüzünə işarə edir və vpnc məhz bu hal üçün hazırlanmışdır.

Check Point-in SSL Network Extender və Nortel-in Aventail klienti hər ikisi ikinci kateqoriyadadır və heç biri IKEv1 qrup sirrini qəbul etmir.

vpnc profilinin nəyi ifadə edə bildiyi və bilmədiyi

Pərdə arxasında vpnc IKEv1-i qrup üçün əvvəlcədən paylaşılmış açarla işlədir, sonra fərdi istifadəçinin etimadnamələrini XAuth vasitəsilə göndərir. Onun konfiqurasiya faylındakı hər şey həmin mübadiləyə aiddir: şlüz, qrup adı, qrup sirri, istifadəçi adı və istifadəçi parolu. Bu sahələr bir protokolu təsvir edir və onların heç bir kombinasiyası klienti başqa protokol danışmağa məcbur edə bilməz.

Buna görə şifrə siyahısını genişləndirmək və ya sertifikat yoxlamalarını söndürmək bu cür uğursuzluğu heç vaxt düzəltmir. Bu dəyişikliklər şlüzün dinləmədiyi danışığı zəiflədir.

Şlüzə uyğun klientin seçilməsi

Check Point şlüzü üçün həmin şlüz buraxılışı üçün hazırlanmış SNX paketindən istifadə edin, təchizatçı onu uzaqdan giriş sənədləri ilə birlikdə dərc edir. Köhnə SNX buraxılışları cari distributivlərdə tez-tez uğursuz olur, çünki artıq quraşdırılmayan 32-bit kitabxanalar tələb edirlər və tərk edilmiş paketi yamaqlamaq adətən dəstəklənən klienti dəstəklənən platformada işlətməkdən pisdir.

Aventail klientləri dəstəyi çoxdan tərk etdi. Belə şlüz hələ də xidmətdədirsə, real seçimlər təşkilat onu aktivləşdirirsə brauzer portalı, ya da dəstəklənən əməliyyat sistemində təchizatçının dəstəklədiyi klientidir.

Şlüz sahibindən məhsulu və versiyanı, Linuxda dəstəklədikləri klienti və ümumiyyətlə IPsec profili olub-olmadığını soruşun. Əgər varsa, qrup identifikatorunu və qrup sirrini ayrı maddələr kimi istəyin, çünki onlar istifadəçi parolu deyil və qarışdırılmış cüt uğursuz tunelin digər geniş yayılmış səbəbidir. Bağlantı nəhayət uğurlu olduqda, hansı protokolun danışıldığını qeyd edin ki, növbəti şəxs eyni təxmini təkrarlamaq əvəzinə faktdan başlasın.