vpnc mod Check Point eller Nortel: hvorfor det hænger

Symptomet er let at læse forkert: vpnc starter, spørger efter gruppeadgangskoden og bliver derefter stående ved et forhandlingstrin, indtil det rapporterer, at der ikke kommer noget svar fra målet. Intet i outputtet nævner gatewayens produkt, og kontoen virker fra en browser, så den oplagte konklusion er en forkert adgangskode eller en blokeret port. I de fleste af disse tilfælde er gatewayen slet ikke en IPsec-partner, så udvekslingen når aldrig langt nok til at afprøve legitimationsoplysninger. Det mønster er værd at afprøve, før noget andet i profilen ændres.

Identificér produktet, før du redigerer et andet profilfelt.

Fejlen ligner forkerte legitimationsoplysninger

vpnc begynder med at sende IKE til UDP 500 og, hvis NAT-gennemgang tilbydes, til UDP 4500. En gateway, der afslutter SSL i stedet for IPsec, svarer ikke på nogen af dem, så klienten prøver igen og giver til sidst op med en generisk fejl. Hvis den samme konto virker gennem en browserportal, der indlæser en lille hjælpeapplikation, er det et stærkt fingerpeg om, at tunnelen er SSL-baseret, og at klienten stiller det forkerte spørgsmål.

Et mislykket forsøg her siger intet om brugerkontoen, for der blev aldrig fremvist legitimationsoplysninger for gatewayen.

Undersøg, hvilken protokol gatewayen tilbyder

To minutters undersøgelse skiller en IPsec-partner fra en SSL-portal. Kør dem fra det samme netværk, som klienten skal bruge, og læs, hvilke porte der svarer, frem for hvilke der står i et dokument. Gem resultatet, for de samme porte afgør, hvilken klient gatewayens ejer bør understøtte. Undersøg fra klientnetværket og ikke fra en vært ved siden af gatewayen.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

En åben 443 med en omdirigering til en loginside og tavshed på 500 og 4500 peger på en SSL VPN. Åbne 500 og 4500 med et certifikat, der serveres på 443, tyder på en IPsec-gateway, der også kører en webfrontend, hvilket er det tilfælde, vpnc blev bygget til.

Check Points SSL Network Extender og Nortels Aventail-klient hører begge til den anden kategori, og ingen af dem accepterer en IKEv1-gruppehemmelighed.

Hvad vpnc-profilen kan og ikke kan udtrykke

Under motorhjelmen kører vpnc IKEv1 mod en på forhånd delt gruppenøgle og sender derefter den enkelte brugers legitimationsoplysninger gennem XAuth. Alt i dens konfigurationsfil hører til den udveksling: gateway, gruppenavn, gruppehemmelighed, brugernavn og brugeradgangskode. De felter beskriver én protokol, og ingen kombination af dem kan få klienten til at tale en anden.

Derfor løser det aldrig denne type fejl at udvide cipherlisten eller slå certifikatkontroller fra. De ændringer svækker en forhandling, som gatewayen ikke lytter efter.

Vælg den klient, der passer til gatewayen

Til en Check Point-gateway skal du bruge SNX-pakken, der er bygget til den gatewayudgivelse, som leverandøren offentliggør sammen med sin fjernadgangsdokumentation. Ældre SNX-builds fejler ofte på aktuelle distributioner, fordi de forventer 32-bit-biblioteker, som ikke længere er installeret, og at lappe en forladt pakke er normalt værre end at køre den understøttede klient på en understøttet platform.

Aventail-klienter mistede support for længe siden. Hvor en sådan gateway stadig er i drift, er de realistiske valg browserportalen, hvis organisationen aktiverer den, eller leverandørens understøttede klient på et understøttet styresystem.

Spørg gatewayens ejer om produktet og versionen, den klient de understøtter på Linux, og om der overhovedet findes en IPsec-profil. Hvis der gør, så bed om gruppeidentifikatoren og gruppehemmeligheden som separate elementer, for de er ikke brugeradgangskoden, og et ombyttet par er den anden hyppige årsag til en mislykket tunnel. Når en forbindelse endelig lykkes, så notér, hvilken protokol der blev forhandlet, så den næste person starter fra en kendsgerning i stedet for at gentage den samme gætteleg.