vpnc a Check Point vagy Nortel ellen: miért akad meg

A tünet könnyen félreolvasható: a vpnc elindul, kéri a csoport jelszavát, majd megáll egy tárgyalási lépésnél, amíg nem jelenti, hogy nem érkezik válasz a céltól. A kimenet semmit sem említ az átjáró termékéről, és a fiók böngészőből működik, így a kézenfekvő következtetés a rossz jelszó vagy a blokkolt port. Esetek többségében az átjáró egyáltalán nem IPsec-társ, ezért a csere soha nem jut el a hitelesítő adatok ellenőrzéséig. Ezt a mintát érdemes megvizsgálni, mielőtt bármi más megváltozik a profilban.

A terméket azonosítsa, mielőtt egy másik profilmezőt szerkesztene.

A hiba rossz hitelesítő adatoknak tűnik

A vpnc azzal kezdi, hogy IKE-t küld az UDP 500-ra, és ha felajánlják a NAT-áthidalást, az UDP 4500-ra. Az az átjáró, amely IPsec helyett SSL-t terminál, egyikre sem válaszol, ezért a kliens újrapróbálja, és végül egy általános hibával feladja. Ha ugyanaz a fiók egy böngészőportálon keresztül működik, amely egy kis segédalkalmazást tölt be, az erős jelzés arra, hogy az alagút SSL-alapú, és a kliens rossz kérdést tesz fel.

Egy itteni sikertelen kísérlet semmit sem mond a felhasználói fiókról, mert soha nem mutattak be hitelesítő adatot az átjárónak.

Ellenőrizze, milyen protokollt kínál az átjáró

Két perc vizsgálat elválasztja az IPsec-társat az SSL-portáltól. Ezeket ugyanabból a hálózatból futtassa, amelyet a kliens használni fog, és azt olvassa ki, mely portok válaszolnak, nem pedig azt, melyek szerepelnek egy dokumentumban. Őrizze meg az eredményt, mert ugyanezek a portok döntik el, melyik klienst kellene támogatnia az átjáró tulajdonosának. A kliens hálózatából vizsgáljon, ne az átjáró melletti hosztról.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Egy nyitott 443-as port bejelentkező oldalra irányító átirányítással, valamint csend az 500-on és a 4500-on SSL VPN-re utal. A nyitott 500-as és 4500-as port 443-on kiszolgált tanúsítvánnyal IPsec-átjárót sejtet, amely webes felületet is futtat, és pontosan ez az eset, amelyre a vpnc készült.

A Check Point SSL Network Extender és a Nortel Aventail-kliense egyaránt a második kategóriába tartozik, és egyik sem fogad el IKEv1 csoporttitkot.

Mit tud és mit nem tud kifejezni a vpnc profilja

A motorháztető alatt a vpnc IKEv1-et futtat egy csoportos, előre megosztott kulccsal szemben, majd az egyéni felhasználó hitelesítő adatait XAuthon keresztül küldi. A konfigurációs fájljában minden ehhez a cseréhez tartozik: átjáró, csoportnév, csoporttitok, felhasználónév és felhasználói jelszó. Ezek a mezők egyetlen protokollt írnak le, és ezek semmilyen kombinációja nem késztetheti a klienst másra.

Ezért a titkosítási lista bővítése vagy a tanúsítványellenőrzések kikapcsolása soha nem javítja ezt a hibát. Ezek a változtatások gyengítik azt a tárgyalást, amelyre az átjáró nem figyel.

Az átjáróhoz illő kliens kiválasztása

Check Point átjáróhoz használja az adott átjárókiadáshoz épített SNX-csomagot, amelyet a gyártó a távoli hozzáférési dokumentációjával együtt tesz közzé. A régebbi SNX-builderek gyakran elbuknak a jelenlegi disztribúciókon, mert 32-bit könyvtárakat várnak, amelyek már nincsenek telepítve, és egy elhagyott csomag foltozása általában rosszabb, mint a támogatott kliens futtatása támogatott platformon.

Az Aventail-kliensek régen elvesztették a támogatást. Ahol egy ilyen átjáró még szolgálatban van, a reális választások a böngészőportál, ha a szervezet engedélyezi, vagy a gyártó támogatott kliense támogatott operációs rendszeren.

Kérdezze meg az átjáró tulajdonosát a termékről és verzióról, a Linuxon támogatott kliensről, és arról, hogy egyáltalán létezik-e IPsec-profil. Ha igen, kérje a csoportazonosítót és a csoporttitkot külön tételként, mert ezek nem a felhasználói jelszó, és egy felcserélt pár a sikertelen alagút másik gyakori oka. Amikor egy kapcsolat végre sikerül, jegyezze fel, melyik protokollt tárgyalták, hogy a következő ember tényből induljon ki, ne ugyanazt a találgatást ismételje.