Check Point ಅಥವಾ Nortel ಎದುರು vpnc: ಅದು ಏಕೆ ನೇತಾಡುತ್ತದೆ

ಲಕ್ಷಣವನ್ನು ತಪ್ಪಾಗಿ ಓದುವುದು ಸುಲಭ: vpnc ಪ್ರಾರಂಭವಾಗುತ್ತದೆ, ಗುಂಪಿನ ಗುಪ್ತಪದ ಕೇಳುತ್ತದೆ, ನಂತರ ಗುರಿಯಿಂದ ಪ್ರತಿಕ್ರಿಯೆ ಇಲ್ಲ ಎಂದು ವರದಿ ಮಾಡುವವರೆಗೆ ಮಾತುಕತೆಯ ಒಂದು ಹಂತದಲ್ಲಿ ಕುಳಿತಿರುತ್ತದೆ. ಔಟ್‌ಪುಟ್‌ನಲ್ಲಿ ಗೇಟ್‌ವೇ ಉತ್ಪನ್ನದ ಉಲ್ಲೇಖವಿಲ್ಲ, ಮತ್ತು ಖಾತೆ ಬ್ರೌಸರ್‌ನಿಂದ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಆದ್ದರಿಂದ ಸ್ಪಷ್ಟ ತೀರ್ಮಾನ ತಪ್ಪು ಗುಪ್ತಪದ ಅಥವಾ ನಿರ್ಬಂಧಿತ ಪೋರ್ಟ್. ಈ ಸಂದರ್ಭಗಳಲ್ಲಿ ಬಹುಪಾಲು ಗೇಟ್‌ವೇ ಯಾವುದೇ IPsec ಸಹಚರವಲ್ಲ, ಆದ್ದರಿಂದ ವಿನಿಮಯ ಎಂದಿಗೂ ರುಜುವಾತು ಪರೀಕ್ಷಿಸುವವರೆಗೆ ತಲುಪುವುದಿಲ್ಲ. ಪ್ರೊಫೈಲ್‌ನಲ್ಲಿ ಬೇರೆ ಯಾವುದನ್ನಾದರೂ ಬದಲಿಸುವ ಮೊದಲು ಈ ಮಾದರಿಯನ್ನು ಪರೀಕ್ಷಿಸುವುದು ಯೋಗ್ಯ.

ಪ್ರೊಫೈಲ್‌ನ ಇನ್ನೊಂದು ಕ್ಷೇತ್ರವನ್ನು ಸಂಪಾದಿಸುವ ಮೊದಲು ಉತ್ಪನ್ನವನ್ನು ಗುರುತಿಸಿ.

ವೈಫಲ್ಯವು ತಪ್ಪು ರುಜುವಾತಿನಂತೆ ಕಾಣುತ್ತದೆ

vpnc UDP 500 ಗೆ IKE ಕಳುಹಿಸುವ ಮೂಲಕ ಪ್ರಾರಂಭವಾಗುತ್ತದೆ ಮತ್ತು NAT ಟ್ರಾವರ್ಸಲ್ ನೀಡಿದರೆ UDP 4500 ಗೆ. IPsec ಬದಲು SSL ಅನ್ನು ಮುಗಿಸುವ ಗೇಟ್‌ವೇ ಎರಡಕ್ಕೂ ಉತ್ತರಿಸುವುದಿಲ್ಲ, ಆದ್ದರಿಂದ ಕ್ಲೈಂಟ್ ಮತ್ತೆ ಪ್ರಯತ್ನಿಸಿ ಕೊನೆಗೆ ಸಾಮಾನ್ಯ ದೋಷದೊಂದಿಗೆ ಬಿಟ್ಟುಬಿಡುತ್ತದೆ. ಅದೇ ಖಾತೆ ಸಣ್ಣ ಸಹಾಯಕ ಅಪ್ಲಿಕೇಶನ್ ಲೋಡ್ ಮಾಡುವ ಬ್ರೌಸರ್ ಪೋರ್ಟಲ್ ಮೂಲಕ ಕೆಲಸ ಮಾಡಿದರೆ, ಸುರಂಗ SSL ಆಧಾರಿತವಾಗಿದೆ ಮತ್ತು ಕ್ಲೈಂಟ್ ತಪ್ಪು ಪ್ರಶ್ನೆ ಕೇಳುತ್ತಿದೆ ಎಂಬುದಕ್ಕೆ ಇದು ಬಲವಾದ ಸೂಚನೆ.

ಇಲ್ಲಿ ವಿಫಲ ಪ್ರಯತ್ನ ಬಳಕೆದಾರ ಖಾತೆ ಬಗ್ಗೆ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಗೇಟ್‌ವೇಗೆ ಯಾವುದೇ ರುಜುವಾತು ಎಂದಿಗೂ ಪ್ರಸ್ತುತಪಡಿಸಲಿಲ್ಲ.

ಗೇಟ್‌ವೇ ಯಾವ ಪ್ರೋಟೋಕಾಲ್ ನೀಡುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ

ಎರಡು ನಿಮಿಷಗಳ ತನಿಖೆ IPsec ಸಹಚರನನ್ನು SSL ಪೋರ್ಟಲ್‌ನಿಂದ ಬೇರ್ಪಡಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಬಳಸಲಿರುವ ಅದೇ ನೆಟ್‌ವರ್ಕ್‌ನಿಂದ ಅವನ್ನು ಚಲಾಯಿಸಿ, ಮತ್ತು ದಾಖಲೆಯಲ್ಲಿ ಯಾವ ಪೋರ್ಟ್‌ಗಳಿವೆ ಎಂಬುದಲ್ಲ, ಯಾವ ಪೋರ್ಟ್‌ಗಳು ಉತ್ತರಿಸುತ್ತವೆ ಎಂಬುದನ್ನು ಓದಿ. ಫಲಿತಾಂಶವನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ, ಏಕೆಂದರೆ ಅದೇ ಪೋರ್ಟ್‌ಗಳು ಗೇಟ್‌ವೇ ಮಾಲೀಕರು ಯಾವ ಕ್ಲೈಂಟ್ ಬೆಂಬಲಿಸಬೇಕೆಂದು ನಿರ್ಧರಿಸುತ್ತವೆ. ಗೇಟ್‌ವೇ ಪಕ್ಕದ ಹೋಸ್ಟ್‌ನಿಂದ ಅಲ್ಲ, ಕ್ಲೈಂಟ್ ನೆಟ್‌ವರ್ಕ್‌ನಿಂದ ತನಿಖೆ ಮಾಡಿ.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

ಲಾಗಿನ್ ಪುಟಕ್ಕೆ ಮರುನಿರ್ದೇಶನದೊಂದಿಗೆ ತೆರೆದ 443 ಮತ್ತು 500 ಹಾಗೂ 4500 ನಲ್ಲಿ ಮೌನ SSL VPN ಕಡೆಗೆ ಸೂಚಿಸುತ್ತದೆ. 443 ನಲ್ಲಿ ನೀಡಲಾದ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ 500 ಮತ್ತು 4500 ತೆರೆದಿದ್ದರೆ ವೆಬ್ ಫ್ರಂಟ್‌ಎಂಡ್ ಸಹ ನಡೆಸುವ IPsec ಗೇಟ್‌ವೇಯನ್ನು ಸೂಚಿಸುತ್ತದೆ, ಮತ್ತು vpnc ಅದೇ ಸಂದರ್ಭಕ್ಕಾಗಿ ನಿರ್ಮಿಸಲಾಗಿದೆ.

Check Point ನ SSL Network Extender ಮತ್ತು Nortel ನ Aventail ಕ್ಲೈಂಟ್ ಎರಡೂ ಎರಡನೇ ವರ್ಗದಲ್ಲಿವೆ, ಮತ್ತು ಯಾವುದೂ IKEv1 ಗುಂಪು ರಹಸ್ಯ ಸ್ವೀಕರಿಸುವುದಿಲ್ಲ.

vpnc ಪ್ರೊಫೈಲ್ ಏನನ್ನು ವ್ಯಕ್ತಪಡಿಸಬಲ್ಲದು ಮತ್ತು ಏನನ್ನು ಸಾಧ್ಯವಿಲ್ಲ

ಒಳಗೆ vpnc ಗುಂಪಿನ ಪೂರ್ವ-ಹಂಚಿದ ಕೀಲಿಯ ವಿರುದ್ಧ IKEv1 ನಡೆಸುತ್ತದೆ, ನಂತರ XAuth ಮೂಲಕ ವೈಯಕ್ತಿಕ ಬಳಕೆದಾರರ ರುಜುವಾತುಗಳನ್ನು ಕಳುಹಿಸುತ್ತದೆ. ಅದರ ಸಂರಚನಾ ಫೈಲ್‌ನಲ್ಲಿ ಎಲ್ಲವೂ ಆ ವಿನಿಮಯಕ್ಕೆ ಸೇರಿದೆ: ಗೇಟ್‌ವೇ, ಗುಂಪಿನ ಹೆಸರು, ಗುಂಪು ರಹಸ್ಯ, ಬಳಕೆದಾರ ಹೆಸರು ಮತ್ತು ಬಳಕೆದಾರ ಗುಪ್ತಪದ. ಆ ಕ್ಷೇತ್ರಗಳು ಒಂದೇ ಪ್ರೋಟೋಕಾಲ್ ವಿವರಿಸುತ್ತವೆ, ಮತ್ತು ಅವುಗಳ ಯಾವುದೇ ಸಂಯೋಜನೆ ಕ್ಲೈಂಟ್‌ಗೆ ಇನ್ನೊಂದನ್ನು ಮಾತನಾಡಲು ಒತ್ತಾಯಿಸಲಾರದು.

ಆದ್ದರಿಂದ ಸೈಫರ್ ಪಟ್ಟಿ ವಿಸ್ತರಿಸುವುದು ಅಥವಾ ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆ ನಿಲ್ಲಿಸುವುದು ಈ ರೀತಿಯ ವೈಫಲ್ಯವನ್ನು ಎಂದಿಗೂ ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಆ ಬದಲಾವಣೆಗಳು ಗೇಟ್‌ವೇ ಕೇಳದ ಮಾತುಕತೆಯನ್ನು ದುರ್ಬಲಗೊಳಿಸುತ್ತವೆ.

ಗೇಟ್‌ವೇಗೆ ಹೊಂದುವ ಕ್ಲೈಂಟ್ ಆಯ್ಕೆ

Check Point ಗೇಟ್‌ವೇಗೆ ಆ ಗೇಟ್‌ವೇ ಆವೃತ್ತಿಗಾಗಿ ನಿರ್ಮಿಸಲಾದ SNX ಪ್ಯಾಕೇಜ್ ಬಳಸಿ, ಅದನ್ನು ಮಾರಾಟಗಾರ ದೂರಸ್ಥ ಪ್ರವೇಶ ದಾಖಲೆಗಳೊಂದಿಗೆ ಪ್ರಕಟಿಸುತ್ತಾನೆ. ಹಳೆಯ SNX ಬಿಲ್ಡ್‌ಗಳು ಪ್ರಸ್ತುತ ವಿತರಣೆಗಳಲ್ಲಿ ಹೆಚ್ಚಾಗಿ ವಿಫಲವಾಗುತ್ತವೆ ಏಕೆಂದರೆ ಅವು ಇನ್ನು ಸ್ಥಾಪಿತವಲ್ಲದ 32-bit ಗ್ರಂಥಾಲಯಗಳನ್ನು ನಿರೀಕ್ಷಿಸುತ್ತವೆ, ಮತ್ತು ತ್ಯಜಿಸಲಾದ ಪ್ಯಾಕೇಜ್ ಪ್ಯಾಚ್ ಮಾಡುವುದು ಸಾಮಾನ್ಯವಾಗಿ ಬೆಂಬಲಿತ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ನಲ್ಲಿ ಬೆಂಬಲಿತ ಕ್ಲೈಂಟ್ ಚಲಾಯಿಸುವುದಕ್ಕಿಂತ ಕೆಟ್ಟದು.

Aventail ಕ್ಲೈಂಟ್‌ಗಳು ಬಹಳ ಹಿಂದೆಯೇ ಬೆಂಬಲ ಕಳೆದುಕೊಂಡವು. ಅಂತಹ ಗೇಟ್‌ವೇ ಇನ್ನೂ ಸೇವೆಯಲ್ಲಿರುವಲ್ಲಿ, ಸಂಸ್ಥೆ ಸಕ್ರಿಯಗೊಳಿಸಿದರೆ ಬ್ರೌಸರ್ ಪೋರ್ಟಲ್, ಅಥವಾ ಬೆಂಬಲಿತ ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್‌ನಲ್ಲಿ ಮಾರಾಟಗಾರರ ಬೆಂಬಲಿತ ಕ್ಲೈಂಟ್ ವಾಸ್ತವಿಕ ಆಯ್ಕೆಗಳು.

ಗೇಟ್‌ವೇ ಮಾಲೀಕರನ್ನು ಉತ್ಪನ್ನ ಮತ್ತು ಆವೃತ್ತಿ, Linux ನಲ್ಲಿ ಅವರು ಬೆಂಬಲಿಸುವ ಕ್ಲೈಂಟ್, ಮತ್ತು ಯಾವುದೇ IPsec ಪ್ರೊಫೈಲ್ ಇದೆಯೇ ಎಂದು ಕೇಳಿ. ಇದ್ದರೆ, ಗುಂಪು ಗುರುತಿಸುವಿಕೆ ಮತ್ತು ಗುಂಪು ರಹಸ್ಯವನ್ನು ಪ್ರತ್ಯೇಕ ಅಂಶಗಳಾಗಿ ಕೇಳಿ, ಏಕೆಂದರೆ ಅವು ಬಳಕೆದಾರ ಗುಪ್ತಪದವಲ್ಲ ಮತ್ತು ಅದಲುಬದಲಾದ ಜೋಡಿ ವಿಫಲ ಸುರಂಗದ ಇನ್ನೊಂದು ಸಾಮಾನ್ಯ ಕಾರಣ. ಸಂಪರ್ಕ ಕೊನೆಗೂ ಯಶಸ್ವಿಯಾದಾಗ, ಯಾವ ಪ್ರೋಟೋಕಾಲ್ ಮಾತುಕತೆಯಾಯಿತು ಎಂದು ದಾಖಲಿಸಿ, ಮುಂದಿನ ವ್ಯಕ್ತಿ ಅದೇ ಊಹೆ ಪುನರಾವರ್ತಿಸದೆ ಸತ್ಯದಿಂದ ಪ್ರಾರಂಭಿಸಲು.