vpnc menghadapi Check Point atau Nortel: mengapa ia menggantung

Gejalanya mudah salah dibaca: vpnc mulai, meminta kata sandi grup, lalu diam di langkah negosiasi sampai melaporkan tidak ada tanggapan dari target. Tidak ada apa pun di keluaran yang menyebut produk gateway, dan akun berfungsi dari peramban, jadi kesimpulan yang tampak jelas adalah kata sandi salah atau porta yang diblokir. Pada sebagian besar kasus ini gateway sama sekali bukan rekan IPsec, sehingga pertukaran tidak pernah cukup jauh untuk menguji kredensial. Pola itu layak diuji sebelum hal lain di profil diubah.

Identifikasi produknya sebelum menyunting kolom profil lain.

Kegagalan tampak seperti kredensial yang salah

vpnc mulai dengan mengirim IKE ke UDP 500 dan, jika penembusan NAT ditawarkan, ke UDP 4500. Gateway yang menutup SSL alih-alih IPsec tidak menjawab keduanya, jadi klien mencoba lagi dan akhirnya menyerah dengan galat umum. Jika akun yang sama berfungsi melalui portal peramban yang memuat aplikasi pembantu kecil, itu petunjuk kuat bahwa terowongan berbasis SSL dan klien menanyakan hal yang salah.

Percobaan yang gagal di sini tidak mengatakan apa pun tentang akun pengguna, karena tidak ada kredensial yang pernah diajukan ke gateway.

Periksa protokol mana yang ditawarkan gateway

Dua menit penyelidikan memisahkan rekan IPsec dari portal SSL. Jalankan dari jaringan yang sama dengan yang akan dipakai klien, dan baca porta mana yang menjawab, bukan mana yang tercantum dalam dokumen. Simpan hasilnya, karena porta yang sama itulah yang menentukan klien mana yang harus didukung pemilik gateway. Selidiki dari jaringan klien, bukan dari host di samping gateway.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

443 terbuka dengan pengalihan ke halaman masuk dan kesunyian pada 500 dan 4500 menunjuk ke SSL VPN. 500 dan 4500 terbuka dengan sertifikat yang disajikan pada 443 menyarankan gateway IPsec yang juga menjalankan antarmuka web, dan itulah kasus yang menjadi alasan vpnc dibuat.

SSL Network Extender dari Check Point dan klien Aventail dari Nortel keduanya berada di kategori kedua, dan tidak satu pun menerima rahasia grup IKEv1.

Apa yang bisa dan tidak bisa diungkapkan profil vpnc

Di balik layar vpnc menjalankan IKEv1 terhadap kunci yang dibagi sebelumnya untuk grup, lalu mengirim kredensial pengguna individual melalui XAuth. Semua yang ada di berkas konfigurasinya termasuk dalam pertukaran itu: gateway, nama grup, rahasia grup, nama pengguna, dan kata sandi pengguna. Kolom-kolom itu menjelaskan satu protokol, dan tidak ada kombinasi yang bisa membuat klien berbicara protokol lain.

Itulah sebabnya memperluas daftar cipher atau mematikan pemeriksaan sertifikat tidak pernah memperbaiki kelas kegagalan ini. Perubahan itu melemahkan negosiasi yang tidak didengarkan gateway.

Memilih klien yang cocok dengan gateway

Untuk gateway Check Point, gunakan paket SNX yang dibangun untuk rilis gateway tersebut, yang diterbitkan vendor bersama dokumentasi akses jaraknya. Build SNX lama sering gagal pada distribusi saat ini karena mengharapkan pustaka 32-bit yang tidak lagi terpasang, dan menambal paket yang ditinggalkan biasanya lebih buruk daripada menjalankan klien yang didukung pada platform yang didukung.

Klien Aventail kehilangan dukungan sejak lama. Di tempat gateway semacam itu masih beroperasi, pilihan realistisnya adalah portal peramban jika organisasi mengaktifkannya, atau klien yang didukung vendor pada sistem operasi yang didukung.

Tanyakan kepada pemilik gateway tentang produk dan versinya, klien yang mereka dukung di Linux, dan apakah ada profil IPsec sama sekali. Jika ada, minta pengenal grup dan rahasia grup sebagai dua hal terpisah, karena keduanya bukan kata sandi pengguna dan pasangan yang tertukar adalah penyebab umum lain terowongan yang gagal. Saat koneksi akhirnya berhasil, catat protokol mana yang dinegosiasikan agar orang berikutnya mulai dari fakta alih-alih mengulangi dugaan yang sama.