vpnc prema Check Pointu ili Nortelu: zašto zastaje

Simptom je lako pogrešno pročitati: vpnc se pokreće, traži grupnu lozinku, a zatim stoji na koraku pregovora dok ne prijavi da nema odgovora od cilja. U izlazu se nigdje ne spominje proizvod pristupnika, a račun radi iz preglednika, pa je očit zaključak pogrešna lozinka ili blokiran port. U većini takvih slučajeva pristupnik uopće nije IPsec partner, pa razmjena nikada ne stigne do provjere vjerodajnica. Taj obrazac vrijedi provjeriti prije nego što se promijeni bilo što drugo u profilu.

Utvrdite proizvod prije nego uredite sljedeće polje profila.

Neuspjeh izgleda kao pogrešne vjerodajnice

vpnc počinje slanjem IKE-a na UDP 500 i, ako je ponuđen NAT traversal, na UDP 4500. Pristupnik koji završava SSL umjesto IPsec-a ne odgovara ni na jedno, pa klijent ponavlja pokušaj i na kraju odustaje s općom greškom. Ako isti račun radi kroz preglednički portal koji učitava malu pomoćnu aplikaciju, to je snažan pokazatelj da se tunel temelji na SSL-u i da klijent postavlja pogrešno pitanje.

Neuspješan pokušaj ovdje ništa ne govori o korisničkom računu, jer pristupniku nikada nisu predočene vjerodajnice.

Provjerite koji protokol pristupnik nudi

Dvije minute provjere razdvajaju IPsec partnera od SSL portala. Pokrenite ih s iste mreže koju će klijent koristiti i čitajte koji portovi odgovaraju, a ne koji se pojavljuju u dokumentu. Sačuvajte rezultat, jer upravo ti portovi određuju koji klijent vlasnik pristupnika treba podržavati. Provjeravajte s klijentske mreže, a ne s hosta uz pristupnik.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Otvoren 443 s preusmjerenjem na prijavnu stranicu i tišina na 500 i 4500 upućuje na SSL VPN. Otvoreni 500 i 4500 s certifikatom posluženim na 443 sugerira IPsec pristupnik koji istovremeno vrti web sučelje, a to je slučaj za koji je vpnc napravljen.

Check Pointov SSL Network Extender i Nortelov Aventail klijent oba pripadaju drugoj kategoriji i nijedan ne prihvaća grupnu tajnu IKEv1.

Što vpnc profil može, a što ne može izraziti

Ispod haube vpnc pokreće IKEv1 prema grupnom unaprijed dijeljenom ključu, a zatim šalje vjerodajnice pojedinačnog korisnika kroz XAuth. Sve u njegovoj konfiguracijskoj datoteci pripada toj razmjeni: pristupnik, naziv grupe, grupna tajna, korisničko ime i korisnička lozinka. Ta polja opisuju jedan protokol i nikakva njihova kombinacija ne može natjerati klijent da govori drugi.

Zato proširenje popisa šifri ili isključivanje provjere certifikata nikada ne ispravlja ovu vrstu neuspjeha. Te promjene slabe pregovor koji pristupnik ne sluša.

Odabir klijenta koji odgovara pristupniku

Za Check Point pristupnik upotrijebite SNX paket izgrađen za to izdanje pristupnika, koji dobavljač objavljuje uz dokumentaciju o daljinskom pristupu. Starije SNX gradnje često padaju na aktualnim distribucijama jer očekuju 32-bit biblioteke koje više nisu instalirane, a krpanje napuštenog paketa obično je gore od pokretanja podržanog klijenta na podržanoj platformi.

Aventail klijenti odavno su izgubili podršku. Gdje takav pristupnik još radi, realne su opcije preglednički portal ako ga organizacija omogući, ili dobavljačev podržani klijent na podržanom operacijskom sustavu.

Pitajte vlasnika pristupnika za proizvod i verziju, klijent koji podržavaju na Linuxu i postoji li uopće IPsec profil. Ako postoji, zatražite grupni identifikator i grupnu tajnu kao odvojene stavke, jer to nije korisnička lozinka, a zamijenjen par je drugi čest uzrok neuspjelog tunela. Kada veza konačno uspije, zabilježite koji je protokol pregovaran, da sljedeća osoba krene od činjenice umjesto da ponavlja istu pretpostavku.