vpnc Check Point немесе Nortel-ге қарсы: неге ілініп қалады

Симптомды қате оқу оңай: vpnc іске қосылады, топ құпиясөзін сұрайды, содан кейін нысаннан жауап жоқ деп хабарлағанша келіссөз қадамында тұрып қалады. Шығыста шлюз өнімі туралы ештеңе айтылмайды, ал тіркелгі браузерден жұмыс істейді, сондықтан айқын қорытынды — қате құпиясөз немесе жабық порт. Мұндай жағдайлардың көбінде шлюз мүлдем IPsec серіктесі емес, сондықтан айырбас тіркелгі деректерін тексеруге жетпейді. Профильде басқа нәрсені өзгертпес бұрын осы үлгіні тексеріп көру керек.

Профильдің басқа өрісін өңдемес бұрын өнімді анықтаңыз.

Сәтсіздік қате тіркелгі деректеріне ұқсайды

vpnc IKE-ні UDP 500-ге жіберуден бастайды, ал NAT-тан өту ұсынылса, UDP 4500-ге де. IPsec орнына SSL-ді аяқтайтын шлюз екеуіне де жауап бермейді, сондықтан клиент қайталап әрекет етеді және соңында жалпы қатемен бас тартады. Сол тіркелгі кішкентай көмекші қолданбаны жүктейтін браузер порталы арқылы жұмыс істесе, бұл туннельдің SSL-ге негізделгеніне және клиенттің дұрыс емес сұрақ қойғанына күшті белгі.

Мұндағы сәтсіз әрекет пайдаланушы тіркелгісі туралы ештеңе айтпайды, өйткені шлюзге ешқандай тіркелгі деректері ұсынылған жоқ.

Шлюз қандай протокол ұсынатынын тексеріңіз

Екі минуттық тексеру IPsec серіктесін SSL порталынан ажыратады. Оларды клиент қолданатын сол желіден іске қосыңыз және құжатта қандай порттар жазылғанын емес, қай порттар жауап беретінін оқыңыз. Нәтижені сақтаңыз, өйткені дәл сол порттар шлюз иесі қандай клиентті қолдауы керектігін шешеді. Шлюздің қасындағы хосттан емес, клиент желісінен тексеріңіз.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Кіру бетіне бағыттаумен ашық 443 және 500 мен 4500-де тыныштық SSL VPN-ге меңзейді. 443-те ұсынылған сертификатпен ашық 500 және 4500 веб-интерфейсті де іске қосатын IPsec шлюзін болжайды, ал vpnc дәл осы жағдай үшін жасалған.

Check Point-тың SSL Network Extender және Nortel-дың Aventail клиенті екеуі де екінші санатқа жатады, және ешқайсысы IKEv1 топтық құпиясын қабылдамайды.

vpnc профилі нені білдіре алады және нені алмайды

Ішінде vpnc топтың алдын ала бөліскен кілтіне қарсы IKEv1 жүргізеді, содан кейін жеке пайдаланушының тіркелгі деректерін XAuth арқылы жібереді. Оның конфигурация файлындағы барлық нәрсе сол айырбасқа жатады: шлюз, топ атауы, топтық құпия, пайдаланушы аты және пайдаланушы құпиясөзі. Бұл өрістер бір протоколды сипаттайды, және олардың ешбір тіркесімі клиентті басқаша сөйлеуге мәжбүрлей алмайды.

Сондықтан шифрлар тізімін кеңейту немесе сертификат тексерулерін өшіру бұл сипаттағы сәтсіздікті ешқашан түзетпейді. Бұл өзгерістер шлюз тыңдамайтын келіссөзді әлсіретеді.

Шлюзге сәйкес клиентті таңдау

Check Point шлюзі үшін сол шлюз шығарылымы үшін құрастырылған SNX бумасын пайдаланыңыз, оны жеткізуші қашықтан қатынау құжаттамасымен бірге жариялайды. Ескі SNX құрастырылымдары ағымдағы дистрибутивтерде жиі сәтсіз болады, өйткені олар енді орнатылмаған 32-bit кітапханаларды күтеді, ал тастанды буманы жамау әдетте қолдау көрсетілетін платформада қолдау көрсетілетін клиентті іске қосудан нашар.

Aventail клиенттері қолдауды әлдеқашан жоғалтты. Мұндай шлюз әлі қызметте болса, шынайы таңдау — ұйым қосса, браузер порталы, немесе қолдау көрсетілетін операциялық жүйедегі жеткізушінің қолдау көрсетілетін клиенті.

Шлюз иесінен өнім мен нұсқаны, Linux-та олар қолдайтын клиентті және IPsec профилінің мүлдем бар-жоғын сұраңыз. Бар болса, топ идентификаторы мен топтық құпияны бөлек екі тармақ ретінде сұраңыз, өйткені олар пайдаланушы құпиясөзі емес және ауыстырылып кеткен жұп — сәтсіз туннельдің тағы бір жиі себебі. Қосылым ақырында сәтті болса, қандай протокол келісілгенін жазып қойыңыз, келесі адам сол болжамды қайталамай, фактіден бастасын.