vpnc in aghaidh Check Point nó Nortel: cén fáth a stopann sé

Is furasta an tsíomptóm a léamh go mícheart: tosaíonn vpnc, iarrann sé pasfhocal an ghrúpa, ansin fanann sé ag céim idirbheartaíochta go dtí go dtuairiscíonn sé nach dtagann aon fhreagra ón sprioc. Ní luaitear táirge an gheata in aon áit san aschur, agus oibríonn an cuntas ó bhrabhsálaí, mar sin is é an tátal soiléir ná pasfhocal mícheart nó port blocáilte. I bhformhór na gcásanna seo ní piara IPsec an geata ar chor ar bith, mar sin ní shroicheann an mhalartú an phointe a thástáiltear teastais. Is fiú an patrún sin a thástáil sula n-athraítear aon rud eile sa phróifíl.

Aithin an táirge sula ndéanfaidh tú eagarthóireacht ar réimse eile den phróifíl.

Breathnaíonn an teip mar theastais mhíchearta

Tosaíonn vpnc trí IKE a sheoladh chuig UDP 500 agus, má thairgtear trasnú NAT, chuig UDP 4500. Ní thugann geata a chríochnaíonn SSL in ionad IPsec freagra ar cheachtar acu, mar sin déanann an cliant iarracht arís agus géilleann sé sa deireadh le hearráid ghinearálta. Má oibríonn an cuntas céanna trí thairseach bhrabhsálaí a lódálann feidhmchlár beag cabhrach, is comhartha láidir é go bhfuil an tollán bunaithe ar SSL agus go bhfuil an cheist mhícheart á cur ag an gcliant.

Ní deir iarracht theipte anseo aon rud faoi chuntas an úsáideora, mar níor cuireadh aon teastas i láthair an gheata riamh.

Seiceáil cén prótacal a thairgeann an geata

Deighleann dhá nóiméad de chrúbadh piara IPsec ó thairseach SSL. Rith iad ón líonra céanna a úsáidfidh an cliant, agus léigh cé na poirt a fhreagraíonn seachas cé na cinn atá i ndoiciméad. Coinnigh an toradh, mar is iad na poirt chéanna a shocraíonn cé an cliant ar cheart d'úinéir an gheata tacú leis. Crúb ó líonra an chliaint agus ní ó óstach in aice leis an ngeata.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Léiríonn 443 oscailte le hatreorú chuig leathanach logála isteach agus tost ar 500 agus 4500 SSL VPN. Tugann 500 agus 4500 oscailte le teastas á sheirbheáil ar 443 le fios go bhfuil geata IPsec ann a ritheann tosach gréasáin freisin, agus sin an cás ar tógadh vpnc dó.

Baineann SSL Network Extender Check Point agus cliant Aventail Nortel araon leis an dara catagóir, agus ní ghlacann ceachtar acu le rún grúpa IKEv1.

Cad is féidir le próifíl vpnc a chur in iúl agus cad nach féidir

Faoin gclúdach ritheann vpnc IKEv1 in aghaidh eochair ghrúpa roinnte roimh ré, ansin seolann sé teastais an úsáideora aonair trí XAuth. Baineann gach rud ina chomhad cumraíochta leis an malartú sin: geata, ainm grúpa, rún grúpa, ainm úsáideora agus pasfhocal úsáideora. Cuireann na réimsí sin síos ar phrótacal amháin, agus ní féidir le haon chomhcheangal díobh a chur ar an gcliant prótacal eile a labhairt.

Sin é an fáth nach gceartaíonn leathnú an liosta síothrúchán ná díchumasú seiceálacha teastas an cineál seo teipe riamh. Lagaíonn na hathruithe sin idirbheartaíocht nach bhfuil an geata ag éisteacht léi.

An cliant a roghnú a oireann don gheata

Le haghaidh geata Check Point, bain úsáid as an pacáiste SNX a tógadh don eisiúint gheata sin, a fhoilsíonn an díoltóir in éineacht lena dhoiciméadú rochtana cianda. Teipeann sean-tógálacha SNX go minic ar na dáiltí reatha mar go nglacann siad le leabharlanna 32-bit nach bhfuil suiteáilte a thuilleadh, agus is measa de ghnáth paiste a chur ar phacáiste tréigthe ná an cliant tacaithe a rith ar ardán tacaithe.

Chaill cliaint Aventail tacaíocht i bhfad ó shin. Sa chás go bhfuil geata den sórt sin fós in úsáid, is iad na roghanna réalaíocha an tairseach bhrabhsálaí má chuireann an eagraíocht ar siúl é, nó cliant tacaithe an díoltóra ar chóras oibriúcháin tacaithe.

Iarr ar úinéir an gheata an táirge agus an leagan, an cliant a thacaíonn sé ar Linux, agus an bhfuil próifíl IPsec ann ar chor ar bith. Má tá, iarr an t-aitheantóir grúpa agus rún an ghrúpa mar mhíreanna ar leith, mar ní hé pasfhocal an úsáideora iad agus is é péire measctha an chúis choitianta eile le tollán teipthe. Nuair a éiríonn le nasc faoi dheireadh, taifead cén prótacal a idirbheartaíodh ionas go dtosóidh an chéad duine eile ó fhíric in ionad an bhuille tuisceana céanna a athrá.