vpnc tsjin Check Point of Nortel: wêrom't it hinget

It symptoom is maklik ferkeard te lêzen: vpnc start, freget om it groepswachtwurd, en bliuwt dan by in ûnderhannelingsstap stean oant it meldt dat der gjin antwurd fan it doel komt. Neat yn de útfier neamt it poarteprodukt, en it akkount wurket fanút in browser, dus de foar de hân lizzende konklúzje is in ferkeard wachtwurd of in blokkearre poarte. Yn de measte fan dizze gefallen is de poarte hielendal gjin IPsec-pear, sadat de útwikseling nea fier genôch komt om oanmeldgegevens te testen. Dat patroan is it wurdich te testen foardat der ea wat oars yn it profyl feroaret.

Identifisearje it produkt foardat jo in oar profylfjild bewurkje.

De mislearring liket op ferkearde oanmeldgegevens

vpnc begjint mei IKE te stjoeren nei UDP 500 en, as NAT-trochgong oanbean wurdt, nei UDP 4500. In poarte dy't SSL yn stee fan IPsec beëiniget, antwurdet op gjin fan beide, dus de klient besiket it opnij en jout úteinlik op mei in algemiene flater. As itselde akkount wurket fia in browserportaal dat in lyts helpprogramma laadt, is dat in sterk teken dat de tunnel op SSL basearre is en dat de klient de ferkearde fraach stelt.

In mislearre besykjen seit hjir neat oer it brûkersakkount, om't der nea oanmeldgegevens oan de poarte foarlein binne.

Kontrolearje hokker protokol de poarte oanbiedt

Twa minuten ûndersyk skiede in IPsec-pear fan in SSL-portaal. Fier se út fan itselde netwurk dat de klient brûke sil, en lês hokker poarten antwurdzje, net hokker yn in dokumint steane. Bewarje it resultaat, want deselde poarten beslute hokker klient de poarteeigner stypje moat. Undersykje fan it klientnetwurk en net fan in host njonken de poarte.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

In iepen 443 mei in trochferwizing nei in oanmeldside en stilte op 500 en 4500 wiist op in SSL VPN. Iepen 500 en 4500 mei in sertifikaat dat op 443 tsjinne wurdt, suggerearret in IPsec-poarte dy't ek in webfrontend draait, en dat is krekt it gefal dêr't vpnc foar boud is.

Check Point syn SSL Network Extender en Nortel syn Aventail-klient hearre beide ta de twadde kategory, en gjin fan beide akseptearret in IKEv1-groepsgeheim.

Wat it profyl fan vpnc útdrukke kin en wat net

Under de motorkap rint vpnc IKEv1 tsjin in foarôf dielde groepskaai, en stjoert dan de oanmeldgegevens fan de yndividuele brûker fia XAuth. Alles yn syn konfiguraasjebestân heart by dy útwikseling: poarte, groepsnamme, groepsgeheim, brûkersnamme en brûkerswachtwurd. Dy fjilden beskriuwe ien protokol, en gjin kombinaasje dêrfan kin de klient in oar prate litte.

Dêrom makket it útwreidzjen fan 'e syferlist of it útskeakeljen fan sertifikaatkontrôles nea dit soarte mislearring goed. Dy feroarings ferswakje in ûnderhanneling dêr't de poarte net nei harket.

De klient kieze dy't by de poarte past

Brûk foar in Check Point-poarte it SNX-pakket dat foar dy poartefrijlitting boud is, dat de leveransier njonken syn dokumintaasje foar tagong op ôfstân publisearret. Aldere SNX-buils mislearje faak op aktuele distribúsjes om't se 32-bit biblioteken ferwachtsje dy't net mear ynstalleare binne, en in ferlitten pakket patchje is meastentiids slimmer as de stipe klient op in stipe platfoarm draaie.

Aventail-klienten ferlearen lang lyn de stipe. Wêr't sa'n poarte noch yn tsjinst is, binne de realistyske karren it browserportaal as de organisaasje dat ynskeakelet, of de stipe klient fan de leveransier op in stipe bestjoeringssysteem.

Freegje de poarteeigner om it produkt en de ferzje, de klient dy't se op Linux stypje, en oft der hielendal in IPsec-profyl bestiet. Bestiet der ien, freegje dan de groepsidentifikaasje en it groepsgeheim as aparte items, want dy binne net it brûkerswachtwurd en in omwiksele pear is de oare gongbere oarsaak fan in mislearre tunnel. As in ferbining úteinlik slagget, skriuw dan op hokker protokol ûnderhannele is, sadat de folgjende persoan fan in feit begjint yn stee fan itselde riedsel te werheljen.