vpnc Check Pointi või Norteli vastu: miks see hangub

Sümptomit on lihtne valesti lugeda: vpnc käivitub, küsib grupiparooli ja jääb siis läbirääkimise sammu juurde seisma, kuni teatab, et sihtmärgilt vastust ei tule. Väljundis ei mainita kusagil lüüsi toodet ja konto töötab brauserist, seega ilmne järeldus on vale parool või blokeeritud port. Enamikul sellistest juhtudest ei ole lüüs üldse IPseci partner, mistõttu vahetus ei jõua kunagi volituste kontrollimiseni. Seda mustrit tasub proovida, enne kui profiilis midagi muud muudetakse.

Tuvastage toode, enne kui muudate mõnda teist profiili välja.

Tõrge näeb välja nagu valed volitused

vpnc alustab IKE saatmisega UDP pordile 500 ja, kui NAT-i läbimist pakutakse, pordile 4500. Lüüs, mis lõpetab SSL-i IPseci asemel, ei vasta kummagile, seega klient proovib uuesti ja annab lõpuks üldise veaga alla. Kui sama konto töötab brauseriportaali kaudu, mis laadib väikese abirakenduse, on see tugev vihje, et tunnel põhineb SSL-il ja klient küsib vale küsimust.

Ebaõnnestunud katse ei ütle siin kasutajakonto kohta midagi, sest lüüsile ei esitatud kunagi ühtki volitust.

Kontrollige, millist protokolli lüüs pakub

Kaks minutit uurimist eraldab IPseci partneri SSL-portaalist. Käivitage need samast võrgust, mida klient kasutab, ja lugege, millised pordid vastavad, mitte millised on dokumendis kirjas. Jätke tulemus alles, sest needsamad pordid otsustavad, millist klienti peaks lüüsi omanik toetama. Uurige kliendi võrgust, mitte lüüsi kõrval olevast hostist.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Avatud 443 koos ümbersuunamisega sisselogimislehele ja vaikus portidel 500 ja 4500 viitab SSL VPN-ile. Avatud 500 ja 4500 koos 443-l pakutava sertifikaadiga viitavad IPseci lüüsile, mis käitab ka veebiliidest, mis ongi juhtum, mille jaoks vpnc loodi.

Check Pointi SSL Network Extender ja Norteli Aventaili klient kuuluvad mõlemad teise kategooriasse ja kumbki ei võta vastu IKEv1 grupisaladust.

Mida vpnc profiil suudab ja ei suuda väljendada

Kapoti all käitab vpnc IKEv1 protokolli eelnevalt jagatud grupivõtmega ja saadab seejärel üksikkasutaja volitused XAuthi kaudu. Kõik tema konfiguratsioonifailis kuulub selle vahetuse juurde: lüüs, grupi nimi, grupisaladus, kasutajanimi ja kasutajaparool. Need väljad kirjeldavad üht protokolli ja ükski nende kombinatsioon ei saa panna klienti rääkima teist.

Seepärast ei paranda šifrite loendi laiendamine ega sertifikaadikontrollide väljalülitamine kunagi seda tüüpi tõrget. Need muudatused nõrgendavad läbirääkimist, mida lüüs ei kuula.

Lüüsiga sobiva kliendi valimine

Check Pointi lüüsi jaoks kasutage selle lüüsiväljaande jaoks ehitatud SNX-paketti, mille tarnija avaldab koos oma kaugjuurdepääsu dokumentatsiooniga. Vanemad SNX-i buildid ebaõnnestuvad praegustel distributsioonidel sageli, sest eeldavad 32-bit teeke, mida enam ei ole paigaldatud, ja mahajäetud paketi lappimine on tavaliselt halvem kui toetatud kliendi käitamine toetatud platvormil.

Aventaili kliendid kaotasid toe ammu. Kui selline lüüs on veel kasutuses, on realistlikud valikud brauseriportaal, kui organisatsioon selle lubab, või tarnija toetatud klient toetatud operatsioonisüsteemis.

Küsige lüüsi omanikult toodet ja versiooni, klienti, mida nad Linuxis toetavad, ja kas IPseci profiil üldse olemas on. Kui on, küsige grupi identifikaatorit ja grupisaladust eraldi, sest need ei ole kasutajaparool ja vahetatud paar on teine tavaline ebaõnnestunud tunneli põhjus. Kui ühendus lõpuks õnnestub, kirjutage üles, milline protokoll läbi räägiti, et järgmine inimene alustaks faktist, mitte ei kordaks sama oletust.