vpnc Check Pointia tai Nortelia vastaan: miksi se jumittuu

Oireen voi helposti lukea väärin: vpnc käynnistyy, kysyy ryhmän salasanaa ja jää sitten neuvotteluvaiheeseen, kunnes ilmoittaa, ettei kohteesta tule vastausta. Tulosteessa ei mainita yhdyskäytävän tuotetta, ja tili toimii selaimesta, joten ilmeinen johtopäätös on väärä salasana tai estetty portti. Useimmissa näistä tapauksista yhdyskäytävä ei ole lainkaan IPsec-vertaispää, joten vaihto ei koskaan etene tunnistetietojen testaamiseen. Tämä kuvio kannattaa testata ennen kuin profiilista muutetaan mitään muuta.

Tunnista tuote ennen kuin muokkaat seuraavaa profiilikenttää.

Vika näyttää vääriltä tunnistetietoilta

vpnc aloittaa lähettämällä IKE:n UDP-porttiin 500 ja, jos NAT-läpäisyä tarjotaan, porttiin 4500. Yhdyskäytävä, joka päättää SSL:n IPsecin sijaan, ei vastaa kumpaankaan, joten asiakas yrittää uudelleen ja luovuttaa lopulta yleisellä virheellä. Jos sama tili toimii selainportaalin kautta, joka lataa pienen apuohjelman, se on vahva vihje siitä, että tunneli perustuu SSL:ään ja asiakas esittää väärän kysymyksen.

Epäonnistunut yritys ei kerro tässä mitään käyttäjätilistä, koska yhdyskäytävälle ei koskaan esitetty tunnistetietoja.

Tarkista, mitä protokollaa yhdyskäytävä tarjoaa

Kaksi minuuttia luotausta erottaa IPsec-vertaispään SSL-portaalista. Aja ne samasta verkosta, jota asiakas käyttää, ja lue, mitkä portit vastaavat, älä mitkä näkyvät asiakirjassa. Tallenna tulos, sillä juuri nuo portit ratkaisevat, mitä asiakasta yhdyskäytävän omistajan pitäisi tukea. Luotaa asiakkaan verkosta, älä yhdyskäytävän vieressä olevasta isännästä.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Avoin 443, joka ohjaa kirjautumissivulle, ja hiljaisuus porteilla 500 ja 4500 viittaavat SSL VPN -ratkaisuun. Avoimet 500 ja 4500 sekä portilla 443 tarjottu varmenne viittaavat IPsec-yhdyskäytävään, joka pyörittää myös web-käyttöliittymää, ja juuri siihen tapaukseen vpnc rakennettiin.

Check Pointin SSL Network Extender ja Nortelin Aventail-asiakas kuuluvat molemmat toiseen luokkaan, eikä kumpikaan hyväksy IKEv1-ryhmäsalaisuutta.

Mitä vpnc-profiili voi ilmaista ja mitä ei

Konepellin alla vpnc ajaa IKEv1:tä ryhmän ennalta jaettua avainta vastaan ja lähettää sitten yksittäisen käyttäjän tunnistetiedot XAuthin kautta. Kaikki sen asetustiedostossa kuuluu tuohon vaihtoon: yhdyskäytävä, ryhmän nimi, ryhmäsalaisuus, käyttäjänimi ja käyttäjän salasana. Nämä kentät kuvaavat yhtä protokollaa, eikä mikään niiden yhdistelmä saa asiakasta puhumaan toista.

Siksi salausluettelon laajentaminen tai varmenteiden tarkistusten poistaminen ei koskaan korjaa tämänkaltaista vikaa. Ne muutokset heikentävät neuvottelua, jota yhdyskäytävä ei kuuntele.

Yhdyskäytävään sopivan asiakkaan valinta

Check Point -yhdyskäytävälle käytä kyseiselle yhdyskäytäväjulkaisulle rakennettua SNX-pakettia, jonka toimittaja julkaisee etäkäytön dokumentaationsa ohella. Vanhemmat SNX-koonnokset epäonnistuvat nykyisillä jakeluilla usein, koska ne odottavat 32-bit-kirjastoja, joita ei enää ole asennettu, ja hylätyn paketin paikkaaminen on yleensä huonompi vaihtoehto kuin tuetun asiakkaan ajaminen tuetulla alustalla.

Aventail-asiakkaat menettivät tuen kauan sitten. Jos tällainen yhdyskäytävä on vielä käytössä, realistiset vaihtoehdot ovat selainportaali, jos organisaatio ottaa sen käyttöön, tai toimittajan tukema asiakas tuetulla käyttöjärjestelmällä.

Kysy yhdyskäytävän omistajalta tuote ja versio, asiakas jota he tukevat Linuxilla, ja onko IPsec-profiilia ylipäätään olemassa. Jos on, pyydä ryhmätunniste ja ryhmäsalaisuus erillisinä kohteina, sillä ne eivät ole käyttäjän salasana, ja vaihtunut pari on toinen yleinen epäonnistuneen tunnelin syy. Kun yhteys lopulta onnistuu, kirjaa, mikä protokolla neuvoteltiin, jotta seuraava henkilö aloittaa tosiseikasta saman arvauksen toistamisen sijaan.