vpnc yn erbyn Check Point neu Nortel: pam mae’n hongian

Mae’r symptom yn hawdd ei gamddarllen: mae vpnc yn cychwyn, yn gofyn am gyfrinair y grŵp, ac yna’n aros mewn cam negodi nes iddo adrodd nad oes ymateb gan y targed. Nid yw’r allbwn yn sôn am gynnyrch y porth o gwbl, ac mae’r cyfrif yn gweithio o’r porwr, felly’r casgliad amlwg yw cyfrinair anghywir neu borth wedi’i rwystro. Yn y rhan fwyaf o’r achosion hyn nid yw’r porth yn gymar IPsec o gwbl, felly nid yw’r cyfnewid byth yn cyrraedd y pwynt o brofi tystlythyrau. Mae’n werth profi’r patrwm hwn cyn i unrhyw beth arall yn y proffil newid.

Nodwch y cynnyrch cyn golygu maes proffil arall.

Mae’r methiant yn edrych fel tystlythyrau gwael

Mae vpnc yn dechrau drwy anfon IKE i UDP 500 ac, os cynigir trawsdoriad NAT, i UDP 4500. Nid yw porth sy’n terfynu SSL yn lle IPsec yn ateb y naill na’r llall, felly mae’r cleient yn rhoi cynnig arall arni ac yn y pen draw yn rhoi’r gorau iddi gyda gwall cyffredin. Os yw’r un cyfrif yn gweithio drwy borth porwr sy’n llwytho ap cymorth bach, mae hynny’n awgrym cryf bod y twnnel yn seiliedig ar SSL a bod y cleient yn gofyn y cwestiwn anghywir.

Nid yw ymgais aflwyddiannus yma’n dweud dim am gyfrif y defnyddiwr, oherwydd ni chyflwynwyd unrhyw dystlythyrau i’r porth erioed.

Gwiriwch ba brotocol y mae’r porth yn ei gynnig

Mae dwy funud o brofion yn gwahanu cymar IPsec oddi wrth borth SSL. Rhedwch y rhain o’r un rhwydwaith y bydd’r cleient yn ei ddefnyddio, a darllenwch pa borthladdoedd sy’n ateb yn hytrach na pha rai sy’n ymddangos mewn dogfen. Cadwch y canlyniad, oherwydd yr un porthladdoedd hynny sy’n penderfynu pa gleient y dylai perchennog y porth ei gefnogi. Profwch o rwydwaith y cleient yn hytrach nag o westeiwr wrth ymyl y porth.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Mae 443 agored gyda ailgyfeiriad i dudalen fewngofnodi a distawrwydd ar 500 a 4500 yn pwyntio at VPN SSL. Mae 500 a 4500 agored gyda thystysgrif yn cael ei gweini ar 443 yn awgrymu porth IPsec sydd hefyd yn rhedeg blaen gwe, sef yr achos y cafodd vpnc ei adeiladu ar ei gyfer.

Mae SSL Network Extender Check Point a chleient Aventail Nortel ill dau yn yr ail gategori, ac nid oes y naill na’r llall yn derbyn cyfrinair grŵp IKEv1.

Beth all proffil vpnc ei fynegi a beth na all

O dan y caead mae vpnc yn rhedeg IKEv1 yn erbyn allwedd a rennir ymlaen llaw ar gyfer y grŵp, ac yna’n anfon tystlythyrau’r defnyddiwr unigol drwy XAuth. Mae popeth yn ei ffeil ffurfweddu yn perthyn i’r cyfnewid hwnnw: y porth, enw’r grŵp, cyfrinach y grŵp, enw’r defnyddiwr a chyfrinair y defnyddiwr. Mae’r meysydd hynny’n disgrifio un protocol, ac ni all unrhyw gyfuniad ohonynt beri i’r cleient siarad un arall.

Dyna pam nad yw ehangu’r rhestr seiffrau na diffodd gwiriadau tystysgrifau byth yn trwsio’r math hwn o fethiant. Mae’r newidiadau hynny’n gwanhau negodi nad yw’r porth yn gwrando arno.

Dewis y cleient sy’n cyd-fynd â’r porth

Ar gyfer porth Check Point, defnyddiwch y pecyn SNX a adeiladwyd ar gyfer y rhyddhad hwnnw o’r porth, y mae’r gwerthwr yn ei gyhoeddi ochr yn ochr â’i ddogfennaeth mynediad o bell. Mae adeileddau SNX hŷn yn aml yn methu ar ddosbarthiadau cyfredol oherwydd eu bod yn disgwyl llyfrgelloedd 32-bit nad ydynt wedi’u gosod mwyach, ac mae clytio pecyn a adawyd yn aml yn waeth na rhedeg y cleient a gefnogir ar blatfform a gefnogir.

Mae cleientiaid Aventail wedi colli cymorth ers talwm. Lle mae porth o’r fath yn dal mewn gwasanaeth, y dewisiadau realistig yw’r porth porwr os yw’r sefydliad yn ei alluogi, neu gleient a gefnogir y gwerthwr ar system weithredu a gefnogir.

Gofynnwch i berchennog y porth am y cynnyrch a’r fersiwn, y cleient y maent yn ei gefnogi ar Linux, ac a oes proffil IPsec o gwbl. Os oes un, gofynnwch am y dynodydd grŵp a chyfrinach y grŵp fel eitemau ar wahân, oherwydd nid cyfrinair y defnyddiwr mo’nynt ac mae pâr wedi’i gymysgu yn achos cyffredin arall o dwnnel aflwyddiannus. Pan fydd cysylltiad yn llwyddo o’r diwedd, cofnodwch ba brotocol a negodwyd fel bod y person nesaf yn dechrau o ffaith yn lle ailadrodd yr un dyfaliad.