vpnc gegen Check Point oder Nortel: Warum es hängt

Das Symptom ist leicht falsch zu lesen: vpnc startet, fragt nach dem Gruppenschlüssel und bleibt dann bei einem Aushandlungsschritt stehen, bis es meldet, dass das Ziel nicht antwortet. In der Ausgabe steht nichts über das Gateway-Produkt, und das Konto funktioniert im Browser, also liegt der naheliegende Schluss bei einem falschen Kennwort oder einem blockierten Port. In den meisten dieser Fälle ist das Gateway überhaupt kein IPsec-Peer, sodass der Austausch nie weit genug kommt, um Anmeldedaten zu prüfen. Dieses Muster sollte getestet werden, bevor irgendetwas anderes im Profil geändert wird.

Bestimmen Sie das Produkt, bevor Sie ein weiteres Profilfeld bearbeiten.

Der Fehler sieht nach falschen Anmeldedaten aus

vpnc beginnt mit dem Senden von IKE an UDP 500 und, wenn NAT-Traversal angeboten wird, an UDP 4500. Ein Gateway, das SSL statt IPsec terminiert, antwortet auf keines von beiden, also wiederholt der Client den Versuch und gibt schließlich mit einem allgemeinen Fehler auf. Wenn dasselbe Konto über ein Browserportal funktioniert, das eine kleine Hilfsanwendung lädt, ist das ein starker Hinweis darauf, dass der Tunnel auf SSL basiert und der Client die falsche Frage stellt.

Ein fehlgeschlagener Versuch sagt hier nichts über das Benutzerkonto aus, weil dem Gateway nie Anmeldedaten vorgelegt wurden.

Prüfen Sie, welches Protokoll das Gateway anbietet

Zwei Minuten Prüfung trennen einen IPsec-Peer von einem SSL-Portal. Führen Sie sie aus demselben Netz aus, das der Client nutzen wird, und lesen Sie ab, welche Ports antworten, statt welche in einem Dokument stehen. Behalten Sie das Ergebnis, denn dieselben Ports entscheiden, welchen Client der Gateway-Betreiber unterstützen sollte. Prüfen Sie aus dem Clientnetz und nicht von einem Host neben dem Gateway.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Ein offener 443 mit einer Weiterleitung auf eine Anmeldeseite und Stille auf 500 und 4500 deutet auf ein SSL VPN hin. Offene 500 und 4500 mit einem auf 443 ausgelieferten Zertifikat legen ein IPsec-Gateway nahe, das zusätzlich ein Web-Frontend betreibt, was genau der Fall ist, für den vpnc gebaut wurde.

Der SSL Network Extender von Check Point und der Aventail-Client von Nortel gehören beide zur zweiten Kategorie, und keiner von beiden akzeptiert ein IKEv1-Gruppengeheimnis.

Was das vpnc-Profil ausdrücken kann und was nicht

Unter der Haube führt vpnc IKEv1 gegen einen vorab geteilten Gruppenschlüssel aus und sendet dann die Anmeldedaten des einzelnen Benutzers über XAuth. Alles in seiner Konfigurationsdatei gehört zu diesem Austausch: Gateway, Gruppenname, Gruppengeheimnis, Benutzername und Benutzerkennwort. Diese Felder beschreiben ein einziges Protokoll, und keine Kombination daraus bringt den Client dazu, ein anderes zu sprechen.

Deshalb behebt das Erweitern der Cipher-Liste oder das Abschalten von Zertifikatsprüfungen diese Fehlerklasse nie. Diese Änderungen schwächen eine Aushandlung, auf die das Gateway nicht hört.

Den Client wählen, der zum Gateway passt

Verwenden Sie für ein Check Point-Gateway das für diese Gateway-Version gebaute SNX-Paket, das der Hersteller zusammen mit seiner Fernzugriffsdokumentation veröffentlicht. Ältere SNX-Builds scheitern auf aktuellen Distributionen häufig, weil sie 32-bit-Bibliotheken erwarten, die nicht mehr installiert sind, und ein aufgegebenes Paket zu flicken ist meist schlechter, als den unterstützten Client auf einer unterstützten Plattform zu betreiben.

Aventail-Clients verloren den Support vor langer Zeit. Wo ein solches Gateway noch in Betrieb ist, sind die realistischen Optionen das Browserportal, wenn die Organisation es aktiviert, oder der unterstützte Client des Herstellers auf einem unterstützten Betriebssystem.

Fragen Sie den Gateway-Betreiber nach Produkt und Version, nach dem Client, den er unter Linux unterstützt, und ob überhaupt ein IPsec-Profil existiert. Falls ja, fordern Sie Gruppenkennung und Gruppengeheimnis als getrennte Angaben an, denn sie sind nicht das Benutzerkennwort, und ein vertauschtes Paar ist die andere häufige Ursache eines gescheiterten Tunnels. Wenn eine Verbindung endlich gelingt, notieren Sie, welches Protokoll ausgehandelt wurde, damit die nächste Person von einer Tatsache ausgeht, statt dieselbe Vermutung zu wiederholen.