vpnc proti Check Pointu nebo Nortelu: proč zamrzne

Příznak se snadno přečte špatně: vpnc se spustí, vyžádá si skupinové heslo a pak zůstane na kroku vyjednávání, dokud neohlásí, že od cíle nepřišla žádná odpověď. Výstup o produktu brány nic neříká a účet funguje z prohlížeče, takže zřejmým závěrem je špatné heslo nebo blokovaný port. Ve většině těchto případů brána vůbec není protějškem IPsec, takže výměna nikdy nedojde k ověření přihlašovacích údajů. Tento vzorec stojí za otestování dřív, než se v profilu změní cokoli dalšího.

Než upravíte další pole profilu, identifikujte produkt.

Selhání vypadá jako špatné přihlašovací údaje

vpnc začíná odesláním IKE na UDP 500 a, pokud je nabídnut průchod NAT, na UDP 4500. Brána, která ukončuje SSL místo IPsec, neodpovídá ani na jedno, takže klient zkouší znovu a nakonec to vzdá s obecnou chybou. Pokud stejný účet funguje přes portál v prohlížeči, který načítá malou pomocnou aplikaci, je to silný náznak, že tunel je založený na SSL a klient se ptá na špatnou věc.

Neúspěšný pokus zde o uživatelském účtu nic neříká, protože bráně nebyly nikdy předloženy žádné přihlašovací údaje.

Zjistěte, který protokol brána nabízí

Dvě minuty testování oddělí protějšek IPsec od portálu SSL. Spusťte je ze stejné sítě, kterou bude klient používat, a čtěte, které porty odpovídají, ne které jsou uvedeny v dokumentaci. Výsledek si uložte, protože právě tyto porty určují, který klient má vlastník brány podporovat. Testujte z klientské sítě, ne z hostitele vedle brány.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Otevřený 443 s přesměrováním na přihlašovací stránku a ticho na 500 a 4500 ukazuje na SSL VPN. Otevřené 500 a 4500 s certifikátem na 443 naznačuje bránu IPsec, která zároveň provozuje webové rozhraní, což je případ, pro který byl vpnc postaven.

SSL Network Extender od Check Pointu i klient Aventail od Nortelu patří do druhé kategorie a ani jeden nepřijímá skupinové tajemství IKEv1.

Co profil vpnc umí a co neumí vyjádřit

Pod kapotou vpnc spouští IKEv1 proti skupinovému předem sdílenému klíči a poté posílá přihlašovací údaje jednotlivého uživatele přes XAuth. Všechno v jeho konfiguračním souboru patří k této výměně: brána, název skupiny, skupinové tajemství, uživatelské jméno a uživatelské heslo. Tato pole popisují jediný protokol a žádná jejich kombinace nemůže přimět klienta mluvit jiným.

Proto rozšíření seznamu šifer nebo vypnutí kontrol certifikátů nikdy tuto třídu selhání neopraví. Tyto změny oslabují vyjednávání, na které brána neposlouchá.

Výběr klienta, který odpovídá bráně

Pro bránu Check Point použijte balíček SNX sestavený pro toto vydání brány, který dodavatel zveřejňuje spolu s dokumentací pro vzdálený přístup. Starší sestavení SNX na současných distribucích často selhávají, protože očekávají 32-bit knihovny, které už nejsou nainstalované, a záplatování opuštěného balíčku je obvykle horší než provoz podporovaného klienta na podporované platformě.

Klienti Aventail ztratili podporu už dávno. Tam, kde taková brána ještě slouží, jsou realistické možnosti portál v prohlížeči, pokud ho organizace zapne, nebo dodavatelem podporovaný klient na podporovaném operačním systému.

Zeptejte se vlastníka brány na produkt a verzi, na klienta, kterého podporují na Linuxu, a zda vůbec existuje profil IPsec. Pokud existuje, vyžádejte identifikátor skupiny a skupinové tajemství jako samostatné položky, protože to není uživatelské heslo a prohozená dvojice je další častou příčinou nefunkčního tunelu. Když spojení konečně uspěje, poznamenejte si, který protokol byl vyjednán, aby další člověk začal od faktu místo opakování stejného odhadu.