vpnc απέναντι σε Check Point ή Nortel: γιατί κολλάει

Το σύμπτωμα διαβάζεται εύκολα λάθος: το vpnc ξεκινά, ζητά τον κωδικό της ομάδας και μετά μένει σε ένα βήμα διαπραγμάτευσης ώσπου να αναφέρει ότι δεν υπάρχει απόκριση από τον στόχο. Τίποτα στην έξοδο δεν αναφέρει το προϊόν της πύλης, και ο λογαριασμός λειτουργεί από τον περιηγητή, οπότε το προφανές συμπέρασμα είναι λάθος κωδικός ή κλειστή θύρα. Στις περισσότερες από αυτές τις περιπτώσεις η πύλη δεν είναι καθόλου ομότιμος IPsec, άρα η ανταλλαγή δεν φτάνει ποτέ στο σημείο να δοκιμάσει διαπιστευτήρια. Αυτό το μοτίβο αξίζει δοκιμή πριν αλλάξει οτιδήποτε άλλο στο προφίλ.

Προσδιορίστε το προϊόν πριν επεξεργαστείτε άλλο πεδίο του προφίλ.

Η αποτυχία μοιάζει με λάθος διαπιστευτήρια

Το vpnc ξεκινά στέλνοντας IKE στη θύρα UDP 500 και, αν προσφέρεται διέλευση NAT, στη θύρα UDP 4500. Μια πύλη που τερματίζει SSL αντί για IPsec δεν απαντά σε καμία από τις δύο, οπότε ο πελάτης επαναλαμβάνει την προσπάθεια και τελικά τα παρατά με ένα γενικό σφάλμα. Αν ο ίδιος λογαριασμός λειτουργεί μέσα από πύλη περιηγητή που φορτώνει μια μικρή βοηθητική εφαρμογή, αυτό είναι ισχυρή ένδειξη ότι η σήραγγα βασίζεται σε SSL και ότι ο πελάτης κάνει τη λάθος ερώτηση.

Μια αποτυχημένη προσπάθεια εδώ δεν λέει τίποτα για τον λογαριασμό χρήστη, γιατί δεν παρουσιάστηκε ποτέ διαπιστευτήριο στην πύλη.

Ελέγξτε ποιο πρωτόκολλο προσφέρει η πύλη

Δύο λεπτά ελέγχου χωρίζουν έναν ομότιμο IPsec από μια πύλη SSL. Εκτελέστε τους από το ίδιο δίκτυο που θα χρησιμοποιήσει ο πελάτης και διαβάστε ποιες θύρες απαντούν, όχι ποιες εμφανίζονται σε ένα έγγραφο. Κρατήστε το αποτέλεσμα, γιατί οι ίδιες θύρες καθορίζουν ποιον πελάτη πρέπει να υποστηρίζει ο ιδιοκτήτης της πύλης. Ελέγξτε από το δίκτυο του πελάτη και όχι από κεντρικό υπολογιστή δίπλα στην πύλη.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Μια ανοιχτή 443 με ανακατεύθυνση σε σελίδα σύνδεσης και σιωπή στις 500 και 4500 δείχνει SSL VPN. Οι ανοιχτές 500 και 4500 με πιστοποιητικό στις 443 υποδηλώνουν πύλη IPsec που τρέχει και διαδικτυακό μέτωπο, που είναι η περίπτωση για την οποία φτιάχτηκε το vpnc.

Το SSL Network Extender της Check Point και ο πελάτης Aventail της Nortel ανήκουν και τα δύο στη δεύτερη κατηγορία, και κανένα από τα δύο δεν δέχεται μυστικό ομάδας IKEv1.

Τι μπορεί και τι δεν μπορεί να εκφράσει το προφίλ του vpnc

Κάτω από το καπό το vpnc εκτελεί IKEv1 απέναντι σε ένα προ-κοινοποιημένο κλειδί ομάδας και μετά στέλνει τα διαπιστευτήρια του μεμονωμένου χρήστη μέσω XAuth. Ό,τι υπάρχει στο αρχείο ρυθμίσεών του ανήκει σε αυτή την ανταλλαγή: πύλη, όνομα ομάδας, μυστικό ομάδας, όνομα χρήστη και κωδικός χρήστη. Αυτά τα πεδία περιγράφουν ένα πρωτόκολλο, και κανένας συνδυασμός τους δεν μπορεί να κάνει τον πελάτη να μιλήσει άλλο.

Γι’ αυτό η διεύρυνση της λίστας κρυπτογραφικών ή η απενεργοποίηση των ελέγχων πιστοποιητικών δεν διορθώνει ποτέ αυτή την κατηγορία αποτυχίας. Αυτές οι αλλαγές αποδυναμώνουν μια διαπραγμάτευση που η πύλη δεν ακούει.

Επιλογή του πελάτη που ταιριάζει στην πύλη

Για πύλη Check Point χρησιμοποιήστε το πακέτο SNX που έχει κατασκευαστεί για αυτή την έκδοση της πύλης, το οποίο ο προμηθευτής δημοσιεύει μαζί με την τεκμηρίωση απομακρυσμένης πρόσβασης. Οι παλαιότερες εκδόσεις SNX αποτυγχάνουν συχνά στις τρέχουσες διανομές επειδή απαιτούν βιβλιοθήκες 32-bit που δεν είναι πλέον εγκατεστημένες, και το μπάλωμα ενός εγκαταλελειμμένου πακέτου είναι συνήθως χειρότερο από τη λειτουργία του υποστηριζόμενου πελάτη σε υποστηριζόμενη πλατφόρμα.

Οι πελάτες Aventail έχασαν την υποστήριξη εδώ και πολύ καιρό. Όπου μια τέτοια πύλη εξακολουθεί να λειτουργεί, οι ρεαλιστικές επιλογές είναι η πύλη περιηγητή αν ο οργανισμός την ενεργοποιεί, ή ο υποστηριζόμενος πελάτης του προμηθευτή σε υποστηριζόμενο λειτουργικό σύστημα.

Ζητήστε από τον ιδιοκτήτη της πύλης το προϊόν και την έκδοση, τον πελάτη που υποστηρίζει σε Linux, και αν υπάρχει καθόλου προφίλ IPsec. Αν υπάρχει, ζητήστε το αναγνωριστικό ομάδας και το μυστικό ομάδας ως ξεχωριστά στοιχεία, γιατί δεν είναι ο κωδικός του χρήστη και το μπερδεμένο ζεύγος είναι η άλλη συνηθισμένη αιτία αποτυχημένης σήραγγας. Όταν μια σύνδεση πετύχει επιτέλους, καταγράψτε ποιο πρωτόκολλο διαπραγματεύτηκε, ώστε ο επόμενος να ξεκινά από ένα γεγονός αντί να επαναλαμβάνει την ίδια εικασία.