vpnc davant de Check Point o Nortel: per què es penja

El símptoma és fàcil de malinterpretar: vpnc s’inicia, demana la contrasenya del grup i després es queda en un pas de negociació fins que informa que no hi ha resposta de l’objectiu. La sortida no esmenta enlloc el producte de la passarel·la, i el compte funciona des del navegador, així que la conclusió òbvia és una contrasenya incorrecta o un port bloquejat. En la majoria d’aquests casos la passarel·la no és gens un parell IPsec, així que l’intercanvi mai no arriba a provar les credencials. Aquest patró val la pena provar-lo abans de canviar qualsevol altra cosa del perfil.

Identifiqueu el producte abans d’editar un altre camp del perfil.

La fallada sembla credencials incorrectes

vpnc comença enviant IKE a UDP 500 i, si s’ofereix travessa de NAT, a UDP 4500. Una passarel·la que acaba SSL en lloc d’IPsec no respon a cap dels dos, així que el client reintenta i finalment es rendeix amb un error genèric. Si el mateix compte funciona a través d’un portal de navegador que carrega una petita aplicació auxiliar, és un senyal fort que el túnel es basa en SSL i que el client fa la pregunta equivocada.

Un intent fallit aquí no diu res del compte d’usuari, perquè no s’ha presentat mai cap credencial a la passarel·la.

Comproveu quin protocol ofereix la passarel·la

Dos minuts de sondeig separen un parell IPsec d’un portal SSL. Executeu-los des de la mateixa xarxa que farà servir el client i llegiu quins ports responen, no quins apareixen en un document. Guardeu el resultat, perquè aquests mateixos ports decideixen quin client hauria de suportar el propietari de la passarel·la. Sondegeu des de la xarxa del client i no des d’un amfitrió al costat de la passarel·la.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Un 443 obert amb una redirecció a una pàgina d’inici i silenci a 500 i 4500 apunta a una SSL VPN. Els 500 i 4500 oberts amb un certificat servit a 443 suggereixen una passarel·la IPsec que també executa un frontal web, que és el cas per al qual es va construir vpnc.

L’SSL Network Extender de Check Point i el client Aventail de Nortel són tots dos a la segona categoria, i cap dels dos accepta un secret de grup IKEv1.

Què pot i què no pot expressar el perfil de vpnc

Sota el capó, vpnc executa IKEv1 contra una clau prèviament compartida de grup i després envia les credencials de l’usuari individual per XAuth. Tot el que hi ha al seu fitxer de configuració pertany a aquest intercanvi: passarel·la, nom del grup, secret del grup, nom d’usuari i contrasenya d’usuari. Aquests camps descriuen un sol protocol, i cap combinació d’ells no pot fer que el client en parli un altre.

Per això ampliar la llista de xifratges o desactivar les comprovacions de certificats no arregla mai aquesta classe de fallada. Aquests canvis debiliten una negociació que la passarel·la no està escoltant.

Triar el client que encaixa amb la passarel·la

Per a una passarel·la Check Point, feu servir el paquet SNX construït per a aquesta versió de la passarel·la, que el proveïdor publica juntament amb la documentació d’accés remot. Les compilacions SNX antigues sovint fallen a les distribucions actuals perquè esperen biblioteques de 32-bit que ja no estan instal·lades, i pedaçar un paquet abandonat sol ser pitjor que executar el client suportat en una plataforma suportada.

Els clients Aventail van perdre el suport fa temps. On una passarel·la així encara està en servei, les opcions realistes són el portal de navegador si l’organització l’habilita, o el client suportat del proveïdor en un sistema operatiu suportat.

Demaneu al propietari de la passarel·la el producte i la versió, el client que suporten a Linux i si existeix algun perfil IPsec. Si n’hi ha, sol·liciteu l’identificador de grup i el secret de grup com a elements separats, perquè no són la contrasenya d’usuari i una parella intercanviada és l’altra causa habitual d’un túnel fallit. Quan una connexió finalment funciona, anoteu quin protocol s’ha negociat perquè la propera persona comenci des d’un fet en lloc de repetir la mateixa suposició.