vpnc Check Point же Nortel каршысында: эмне үчүн илинип калат

Симптомду туура эмес окуу оңой: vpnc башталат, топтун сырсөзүн сурайт, анан максаттан жооп жок деп билдиргенге чейин сүйлөшүү кадамында туруп калат. Чыгарылышта дарбаза продукты жөнүндө эч нерсе айтылбайт, ал эми эсеп браузерден иштейт, ошондуктан айкын тыянак туура эмес сырсөз же жабык порт. Мындай учурлардын көбүндө дарбаза такыр IPsec өнөктөшү эмес, ошондуктан алмашуу эсептик маалыматтарды текшерүүгө жетпейт. Профилде башка нерсени өзгөртүүдөн мурун бул үлгүнү текшерүү керек.

Профилдин башка талаасын оңдоодон мурун продуктту аныктаңыз.

Ийгиликсиздик туура эмес эсептик маалыматка окшош

vpnc IKEди UDP 500гө жөнөтүү менен башталат жана NATдан өтүү сунушталса, UDP 4500гө. IPsec ордуна SSLди бүтүргөн дарбаза экөөнө тең жооп бербейт, ошондуктан кардар кайра аракет кылат жана акыры жалпы ката менен баш тартат. Ошол эле эсеп кичинекей жардамчы колдонмону жүктөгөн браузер порталы аркылуу иштесе, бул туннелдин SSLге негизделгенин жана кардар туура эмес суроо берип жатканын күчтүү белгилейт.

Бул жердеги ийгиликсиз аракет колдонуучунун эсеби жөнүндө эч нерсе айтпайт, анткени дарбазага эч кандай эсептик маалымат берилген эмес.

Дарбаза кайсы протоколду сунуштаарын текшериңиз

Эки мүнөттүк текшерүү IPsec өнөктөшүн SSL порталынан ажыратат. Аларды кардар колдоно турган ошол эле тармактан иштетиңиз жана документте кайсы порттор жазылганын эмес, кайсы порттор жооп берерин окуңуз. Жыйынтыкты сактаңыз, анткени дал ошол порттор дарбаза ээси кайсы кардарды колдошу керектигин чечет. Дарбазанын жанындагы хосттон эмес, кардардын тармагынан текшериңиз.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Кирүү барагына багыттоо менен ачык 443 жана 500 менен 4500дө тынчтык SSL VPN экенине ишарат кылат. 443тө сунушталган сертификат менен ачык 500 жана 4500 веб-интерфейсти да иштеткен IPsec дарбазасын болжолдойт, ал эми vpnc дал ушул учур үчүн жасалган.

Check Pointтин SSL Network Extender жана Nortelдин Aventail кардары экөө тең экинчи категорияга кирет, жана экөөнүн бири да IKEv1 топтук сырын кабыл албайт.

vpnc профили эмнени билдире алат жана эмнени албайт

Ичинде vpnc топтун алдын ала бөлүшүлгөн ачкычына каршы IKEv1 жүргүзөт, анан жеке колдонуучунун эсептик маалыматтарын XAuth аркылуу жөнөтөт. Анын конфигурация файлындагы бардык нерсе ошол алмашууга таандык: дарбаза, топтун аты, топтук сыр, колдонуучунун аты жана колдонуучунун сырсөзү. Бул талаалар бир протоколду сүрөттөйт, жана алардын эч бир айкалышы кардарды башкача сүйлөөгө мажбурлай албайт.

Ошондуктан шифрлер тизмесин кеңейтүү же сертификат текшерүүлөрүн өчүрүү бул түрдөгү ийгиликсиздикти эч качан оңдобойт. Бул өзгөртүүлөр дарбаза укпаган сүйлөшүүнү алсыратат.

Дарбазага туура келген кардарды тандоо

Check Point дарбазасы үчүн ошол дарбаза чыгарылышы үчүн курулган SNX пакетин колдонуңуз, аны жеткирүүчү алыскы кирүү документтери менен бирге жарыялайт. Эски SNX курулуштары учурдагы дистрибутивдерде көп ийгиликсиз болот, анткени алар мындан ары орнотулбаган 32-bit китепканаларды күтүшөт, ал эми ташталган пакетти жамоо адатта колдоого алынган платформада колдоого алынган кардарды иштетүүдөн жаман.

Aventail кардарлары колдоону байыртан жоготушкан. Мындай дарбаза дагы эле кызматта болсо, реалдуу тандоолор — уюм күйгүзсө браузер порталы, же колдоого алынган операциялык системадагы жеткирүүчүнүн колдоого алынган кардары.

Дарбаза ээсинен продукт менен версияны, Linuxте алар колдогон кардарды жана IPsec профили бар-жогун сураңыз. Бар болсо, топ идентификаторун жана топтук сырды өзүнчө эки пункт катары сураңыз, анткени алар колдонуучунун сырсөзү эмес, жана алмашып кеткен жуп — ийгиликсиз туннелдин дагы бир кеңири тараган себеби. Байланыш акыры ийгиликтүү болгондо, кайсы протокол сүйлөшүлгөнүн жазып коюңуз, кийинки адам ошол эле божомолду кайталабай, фактыдан башташ үчүн.