vpnc gegn Check Point eða Nortel: hvers vegna það hangir

Einkennin eru auðlesin rangt: vpnc byrjar, biður um hópalykilorðið og stendur svo við samningaþrep þar til það tilkynnir að ekkert svar komi frá markinu. Ekkert í úttakinu nefnir vöru hliðsins, og reikningurinn virkar í vafra, svo augljós niðurstaða er rangt lykilorð eða lokað port. Í flestum þessara tilvika er hliðið alls ekki IPsec-félagi, svo skiptin ná aldrei að prófa auðkenni. Það mynstur er þess virði að prófa áður en nokkuð annað í sniðinu breytist.

Auðkenndu vöruna áður en þú breytir öðru sniðsreiti.

Bilunin lítur út eins og röng auðkenni

vpnc byrjar á að senda IKE á UDP 500 og, ef NAT-gegnumferð er boðin, á UDP 4500. Hlið sem lýkur SSL í stað IPsec svarar hvorugu, svo biðlarinn reynir aftur og gefst að lokum upp með almennri villu. Ef sami reikningur virkar í gegnum vafragátt sem hleður litlu hjálparforriti er það sterk vísbending um að göngin byggist á SSL og að biðlarinn spyrji röngu spurningarinnar.

Mistök hér segja ekkert um notandareikninginn, því engin auðkenni voru nokkurn tíma lögð fyrir hliðið.

Athugaðu hvaða samskiptareglur hliðið býður

Tvær mínútur af rannsókn aðgreina IPsec-félaga frá SSL-gátt. Keyrðu þær úr sama neti og biðlarinn mun nota, og lestu hvaða port svara frekar en hver eru í skjali. Geymdu niðurstöðuna, því sömu port ráða því hvaða biðlara eigandi hliðsins ætti að styðja. Rannsakaðu úr neti biðlarans en ekki frá hýsli við hliðið.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Opið 443 með endurbeiningu á innskráningarsíðu og þögn á 500 og 4500 bendir til SSL VPN. Opið 500 og 4500 með skírteini sem þjónað er á 443 bendir til IPsec-hliðs sem einnig keyrir vefviðmót, og það er tilvikið sem vpnc var byggt fyrir.

SSL Network Extender frá Check Point og Aventail-biðlarinn frá Nortel eru báðir í öðrum flokki, og hvorugur þeirra tekur við IKEv1-hópaleindarmáli.

Hvað snið vpnc getur og getur ekki tjáð

Undir húddinu keyrir vpnc IKEv1 gegn fyrirfram deildum hópalykli og sendir svo auðkenni einstaks notanda í gegnum XAuth. Allt í stillingarskrá þess tilheyrir þeim skiptum: hlið, hópnafn, hópaleindarmál, notandanafn og notandalykilorð. Þessi reitir lýsa einni samskiptareglu, og engin samsetning þeirra getur fengið biðlarann til að tala aðra.

Þess vegna lagar stækkun dulritunarlistans eða slökkt á skírteinisathugunum aldrei þessa tegund bilunar. Þessar breytingar veikja samning sem hliðið hlustar ekki á.

Að velja biðlarann sem passar við hliðið

Fyrir Check Point-hlið skaltu nota SNX-pakkann sem byggður er fyrir þá útgáfu hliðsins, sem framleiðandinn birtir ásamt fjar-aðgangsskjölum sínum. Eldri SNX-gerðir mistakast oft á núverandi dreifingum því þær gera ráð fyrir 32-bit söfnum sem eru ekki lengur uppsett, og að plástra yfirgefinn pakka er venjulega verra en að keyra studdan biðlara á studdum vettvangi.

Aventail-biðlarar misstu stuðning fyrir löngu. Þar sem slíkt hlið er enn í notkun eru raunhæfu valkostirnir vafragáttin ef stofnunin virkjar hana, eða studdur biðlari framleiðandans á studdu stýrikerfi.

Spyrðu eiganda hliðsins um vöruna og útgáfuna, biðlarann sem þeir styðja á Linux, og hvort IPsec-snið sé yfirhöfuð til. Ef það er til, biddu um hópaauðkennið og hópaleindarmálið sem aðskilda liði, því þau eru ekki notandalykilorðið og víxluð pör eru hin algenga orsök misheppnaðra ganga. Þegar tenging tekst loks skaltu skrá hvaða samskiptareglu var samið um, svo næsta manneskja byrji á staðreynd í stað þess að endurtaka sömu ágiskun.