vpnc מול Check Point או Nortel: מדוע הוא נתקע

קל לקרוא את הסימפטום שלא כהלכה: vpnc מתחיל, מבקש את סיסמת הקבוצה, ואז נשאר בשלב משא ומתן עד שהוא מדווח שלא מגיעה תשובה מהיעד. דבר בפלט אינו מזכיר את מוצר השער, והחשבון עובד מהדפדפן, ולכן המסקנה המתבקשת היא סיסמה שגויה או פורט חסום. ברוב המקרים האלה השער אינו עמית IPsec כלל, ולכן החליפין לעולם לא מגיע לשלב בדיקת הפרטים. כדאי לבדוק את הדפוס הזה לפני שמשנים משהו אחר בפרופיל.

זהו את המוצר לפני עריכת שדה פרופיל נוסף.

הכשל נראה כמו פרטים שגויים

vpnc מתחיל בשליחת IKE ל-UDP 500 ואם מוצעת חדירת NAT, ל-UDP 4500. שער שמסיים SSL במקום IPsec אינו עונה לאף אחד מהם, ולכן הלקוח מנסה שוב ובסופו של דבר מוותר עם שגיאה כללית. אם אותו חשבון עובד דרך פורטל דפדפן שטוען יישומון עזר קטן, זהו רמז חזק שהמנהרה מבוססת SSL ושהלקוח שואל את השאלה הלא נכונה.

ניסיון כושל כאן אינו אומר דבר על חשבון המשתמש, משום שמעולם לא הוצגו פרטים לשער.

בדקו איזה פרוטוקול השער מציע

שתי דקות של בדיקה מפרידות בין עמית IPsec לפורטל SSL. הריצו אותן מהרשת שאותה הלקוח ישתמש, וקראו אילו פורטים עונים ולא אילו מופיעים במסמך. שמרו את התוצאה, כי אותם פורטים בדיוק קובעים איזה לקוח בעל השער צריך לתמוך בו. בדקו מרשת הלקוח ולא ממארח שליד השער.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

443 פתוח עם הפניה לדף התחברות ושתיקה ב-500 וב-4500 מצביעים על SSL VPN. 500 ו-4500 פתוחים עם תעודה המוגשת ב-443 מרמזים על שער IPsec שמריץ גם חזית אינטרנט, וזה המקרה שלשמו נבנה vpnc.

SSL Network Extender של Check Point ולקוח Aventail של Nortel נמצאים שניהם בקטגוריה השנייה, ואף אחד מהם אינו מקבל סוד קבוצה של IKEv1.

מה פרופיל vpnc יכול לבטא ומה לא

מתחת למכסה vpnc מריץ IKEv1 מול מפתח קבוצתי משותף מראש, ואז שולח את פרטי המשתמש הבודד דרך XAuth. כל מה שבקובץ התצורה שלו שייך לחליפין הזה: שער, שם קבוצה, סוד קבוצה, שם משתמש וסיסמת משתמש. השדות האלה מתארים פרוטוקול אחד, ושום שילוב שלהם אינו יכול לגרום ללקוח לדבר אחר.

לכן הרחבת רשימת הצפנים או ביטול בדיקות התעודות לעולם אינם מתקנים סוג כזה של כשל. השינויים האלה מחלישים משא ומתן שהשער אינו מקשיב לו.

בחירת הלקוח שמתאים לשער

לשער Check Point השתמשו בחבילת SNX שנבנתה עבור מהדורת השער הזו, שהספק מפרסם לצד תיעוד הגישה מרחוק. בניות SNX ישנות נכשלות לעיתים קרובות בהפצות הנוכחיות משום שהן מצפות לספריות 32-bit שאינן מותקנות עוד, ותיקון חבילה נטושה גרוע בדרך כלל מהרצת הלקוח הנתמך על פלטפורמה נתמכת.

לקוחות Aventail איבדו את התמיכה לפני זמן רב. במקום שבו שער כזה עדיין בשירות, האפשרויות המציאותיות הן פורטל הדפדפן אם הארגון מפעיל אותו, או לקוח נתמך של הספק על מערכת הפעלה נתמכת.

שאלו את בעל השער על המוצר והגרסה, על הלקוח שהם תומכים בו ב-Linux, ועל האם קיים בכלל פרופיל IPsec. אם קיים, בקשו את מזהה הקבוצה ואת סוד הקבוצה כפריטים נפרדים, משום שאלה אינם סיסמת המשתמש, וזוג שהוחלף הוא הסיבה הנפוצה האחרת למנהרה כושלת. כשחיבור סוף סוף מצליח, רשמו איזה פרוטוקול נוהל כדי שהאדם הבא יתחיל מעובדה במקום לחזור על אותה השערה.