vpnc در برابر Check Point یا Nortel: چرا معلق می‌ماند

خواندن این نشانه به‌صورت اشتباه آسان است: vpnc شروع می‌شود، گذرواژه گروه را می‌پرسد، سپس در یک مرحله مذاکره می‌ماند تا اینکه گزارش دهد پاسخ از مقصد نمی‌آید. در خروجی هیچ اشاره‌ای به محصول دروازه نیست و حساب از مرورگر کار می‌کند، پس نتیجه بدیهی گذرواژه اشتباه یا درگاه مسدود است. در بیشتر این موارد دروازه اصلاً همتای IPsec نیست، بنابراین تبادل هرگز به آزمون اعتبارنامه نمی‌رسد. ارزش دارد این الگو پیش از تغییر هر چیز دیگر در پروفایل آزمایش شود.

پیش از ویرایش هر میدان دیگری از پروفایل، محصول را شناسایی کنید.

شکست شبیه اعتبارنامه اشتباه به نظر می‌رسد

vpnc با فرستادن IKE به UDP 500 آغاز می‌کند و اگر عبور NAT پیشنهاد شود، به UDP 4500. دروازه‌ای که به‌جای IPsec، SSL را پایان می‌دهد به هیچ‌کدام پاسخ نمی‌دهد، پس کلاینت دوباره تلاش می‌کند و در نهایت با یک خطای عمومی رها می‌کند. اگر همان حساب از طریق درگاه مرورگر که برنامه کمکی کوچکی بار می‌کند کار کند، این نشانه قوی است که تونل بر پایه SSL است و کلاینت پرسش اشتباه را می‌پرسد.

تلاش ناموفق در اینجا چیزی درباره حساب کاربر نمی‌گوید، زیرا هیچ اعتبارنامه‌ای به دروازه ارائه نشد.

بررسی کنید دروازه کدام پروتکل را ارائه می‌دهد

دو دقیقه کندوکاو همتای IPsec را از درگاه SSL جدا می‌کند. این‌ها را از همان شبکه‌ای اجرا کنید که کلاینت استفاده خواهد کرد و بخوانید کدام درگاه‌ها پاسخ می‌دهند، نه کدام در یک سند آمده‌اند. نتیجه را نگه دارید، زیرا همان درگاه‌ها تعیین می‌کنند صاحب دروازه باید کدام کلاینت را پشتیبانی کند. از شبکه کلاینت کندوکاو کنید، نه از میزبان کنار دروازه.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

درگاه 443 باز با تغییرمسیر به صفحه ورود و سکوت روی 500 و 4500 به SSL VPN اشاره دارد. باز بودن 500 و 4500 با گواهی‌ای که روی 443 ارائه می‌شود به دروازه IPsec اشاره دارد که یک رابط وب هم اجرا می‌کند، و همین حالتی است که vpnc برای آن ساخته شد.

SSL Network Extender از Check Point و کلاینت Aventail از Nortel هر دو در دسته دوم هستند و هیچ‌کدام راز گروهی IKEv1 را نمی‌پذیرند.

پروفایل vpnc چه چیزی را می‌تواند بیان کند و چه چیزی را نه

زیر پوست، vpnc پروتکل IKEv1 را در برابر یک کلید گروهی از پیش مشترک اجرا می‌کند و سپس اعتبارنامه کاربر فردی را از طریق XAuth می‌فرستد. هر چیزی در فایل پیکربندی آن به همین تبادل تعلق دارد: دروازه، نام گروه، راز گروه، نام کاربر و گذرواژه کاربر. این میدان‌ها یک پروتکل را توصیف می‌کنند و هیچ ترکیبی از آن‌ها نمی‌تواند کلاینت را وادار کند پروتکل دیگری صحبت کند.

به همین دلیل گستردن فهرست رمزها یا خاموش کردن بررسی گواهی‌ها هرگز این دسته از شکست را درست نمی‌کند. آن تغییرها مذاکره‌ای را تضعیف می‌کنند که دروازه به آن گوش نمی‌دهد.

انتخاب کلاینتی که با دروازه می‌خواند

برای دروازه Check Point از بسته SNX ساخته‌شده برای همان نسخه دروازه استفاده کنید که فروشنده آن را همراه مستندات دسترسی از راه دور منتشر می‌کند. بیلدهای قدیمی‌تر SNX اغلب روی توزیع‌های کنونی شکست می‌خورند زیرا کتابخانه‌های 32-bit را انتظار دارند که دیگر نصب نیستند، و وصله‌کردن بسته‌ای رهاشده معمولاً بدتر از اجرای کلاینت پشتیبانی‌شده روی سکوی پشتیبانی‌شده است.

کلاینت‌های Aventail مدت‌ها پیش پشتیبانی را از دست دادند. جایی که چنین دروازه‌ای هنوز در خدمت است، گزینه‌های واقع‌بینانه درگاه مرورگر است اگر سازمان آن را فعال کند، یا کلاینت پشتیبانی‌شده فروشنده روی سیستم‌عامل پشتیبانی‌شده.

از صاحب دروازه محصول و نسخه، کلاینتی که روی Linux پشتیبانی می‌کنند و اینکه اصلاً پروفایل IPsec وجود دارد یا نه را بپرسید. اگر وجود دارد، شناسه گروه و راز گروه را به‌صورت دو قلم جدا بخواهید، زیرا این‌ها گذرواژه کاربر نیستند و جفت جابه‌جاشده دیگر علت رایج تونل ناموفق است. وقتی اتصال سرانجام موفق شد، ثبت کنید کدام پروتکل مذاکره شد تا نفر بعدی از یک واقعیت شروع کند نه از تکرار همان حدس.