vpnc Check Point edo Nortelen aurka: zergatik blokeatzen den

Sintoma erraz irakurtzen da gaizki: vpnc abiarazi egiten da, taldeko pasahitza eskatzen du, eta gero negoziazio-pauso batean gelditzen da, helburutik erantzunik ez dagoela jakinarazi arte. Irteeran ez da atebidearen produktua aipatzen, eta kontuak nabigatzailetik funtzionatzen du, beraz, ondorio begi-bistakoa pasahitz okerra edo blokeatutako portua da. Kasu horietako gehienetan atebidea ez da batere IPsec parekidea, beraz, trukeak ez du inoiz kredentzialak probatzera iristen. Eredu hori merezi du probatzea profilean beste ezer aldatu aurretik.

Identifikatu produktua profileko beste eremu bat editatu aurretik.

Hutsak kredentzial okerrak dirudite

vpnc IKE bidaltzen hasten da UDP 500-era eta, NAT zeharkatzea eskaintzen bada, UDP 4500-era. IPsec-en ordez SSL amaitzen duen atebideak ez die biei erantzuten, beraz bezeroak berriro saiatzen da eta azkenean errore orokor batekin ematen du amore. Kontu berak laguntzaile-aplikazio txiki bat kargatzen duen nabigatzaile-portal baten bidez funtzionatzen badu, tunela SSL-en oinarrituta dagoela eta bezeroak galdera okerra egiten duela adierazten du horrek.

Hemen huts egindako saiakerak ez du ezer esaten erabiltzaile-kontuaz, atebideari inoiz ez zaiolako kredentzialik aurkeztu.

Egiaztatu atebideak zein protokolo eskaintzen duen

Bi minutuko azterketak IPsec parekidea SSL portaletik bereizten du. Exekutatu bezeroak erabiliko duen sare beretik, eta irakurri zein portuk erantzuten duten, ez zein agertzen diren dokumentu batean. Gorde emaitza, portu horiek berberek erabakitzen baitute atebidearen jabak zein bezero onartu behar duen. Aztertu bezeroaren saretik, eta ez atebidearen alboan dagoen ostalaritik.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

443 irekia, saio-hasierako orrialdera berbideratzearekin, eta isiltasuna 500 eta 4500 portuetan SSL VPN batera bideratzen dute. 500 eta 4500 irekiak 443n zerbitzatutako ziurtagiri batekin IPsec atebide bat iradokitzen dute, web aurrekaldea ere exekutatzen duena, eta horixe da vpnc eraiki zen kasua.

Check Point-en SSL Network Extender eta Nortel-en Aventail bezeroa bigarren kategorian daude biak, eta batek ere ez du IKEv1 talde-sekreturik onartzen.

Zer adieraz dezakeen vpnc profilak eta zer ez

Motorraren azpian vpnc-k IKEv1 exekutatzen du aldez aurretik partekatutako talde-gako baten aurka, eta gero erabiltzaile indibidualaren kredentzialak XAuth bidez bidaltzen ditu. Bere konfigurazio-fitxategiko guztia truke horri dagokio: atebidea, taldearen izena, talde-sekretua, erabiltzaile-izena eta erabiltzaile-pasahitza. Eremu horiek protokolo bakarra deskribatzen dute, eta haien konbinazio batek ere ezin du bezeroa beste bat hitz egitera behartu.

Horregatik, zifratze-zerrenda zabaltzeak edo ziurtagirien egiaztapenak desgaitzeak ez du inoiz konpontzen hutsegite mota hau. Aldaketa horiek atebideak entzuten ez duen negoziazioa ahultzen dute.

Atebidearekin bat datorren bezeroa aukeratzea

Check Point atebide baterako, erabili atebidearen bertsio horretarako eraikitako SNX paketea, hornitzaileak urruneko sarbidearen dokumentazioarekin batera argitaratzen duena. SNX bertsio zaharrek sarritan huts egiten dute egungo banaketetan, jada instalatuta ez dauden 32-bit liburutegiak espero dituztelako, eta bertan behera utzitako pakete bat adabakitzea normalean okerragoa da bezero onartua plataforma onartu batean exekutatzea baino.

Aventail bezeroek aspaldi galdu zuten laguntza. Atebide hori oraindik zerbitzuan dagoen lekuetan, aukera errealistak nabigatzaile-portala dira, erakundeak gaitzen badu, edo hornitzailearen bezero onartua sistema eragile onartu batean.

Galdetu atebidearen jabeari produktua eta bertsioa, Linuxen onartzen duten bezeroa eta IPsec profilik ba ote dagoen. Badago, eskatu talde-identifikatzailea eta talde-sekretua elementu bereizi gisa, ez baitira erabiltzaile-pasahitza eta nahastutako bikotea tunel huts baten beste arrazoi ohikoa da. Konexioak azkenean lortzen duenean, idatzi zein protokolo negoziatu zen, hurrengo pertsonak suposizio bera errepikatu beharrean egitatetik has dadin.