vpnc géint Check Point oder Nortel: firwat et hänkt

D’Symptom ass liicht falsch ze liesen: vpnc startet, freet no dem Gruppepasswuert a bleift dann op engem Verhandlungsstep stoen, bis et mellt, datt keng Äntwert vum Zil kënnt. Näischt an der Ausgab ernimmt d’Gateway-Produkt, an de Kont funktionéiert vum Browser aus, dofir ass déi evident Konklusioun en falscht Passwuert oder en blockéierte Port. An de meeschte vun dëse Fäll ass de Gateway guer keen IPsec-Peer, dofir kënnt den Austausch ni wäit genuch fir Umeldungsdaten ze testen. Dëst Muster ass et wäert ze testen, ier een eppes anescht am Profil ännert.

Identifizéiert d’Produkt, ier Dir en anert Profilfeld ännert.

D’Fehler gesäit aus wéi falsch Umeldungsdaten

vpnc fänkt un, IKE op UDP 500 ze schécken an, wann NAT-Traversal ugebuede gëtt, op UDP 4500. En Gateway, deen SSL amplaz IPsec terminéiert, äntwert op keent vun deenen zwee, dofir probéiert de Client nach eng Kéier a gëtt schlussendlech mat engem allgemenge Feeler op. Wa dee selwechte Kont iwwer e Browserportal funktionéiert, deen eng kleng Hëllefsapplikatioun lued, ass dat en staarkt Indiz, datt den Tunnel op SSL baséiert an de Client déi falsch Fro stellt.

En heiten net erfolgreichen Versuch seet näischt iwwer de Benotzerkont, well dem Gateway ni Umeldungsdaten virgeluecht goufen.

Kuckt, wéi ee Protokoll de Gateway ubitt

Zwee Minutte Sondéierung trennen en IPsec-Peer vun engem SSL-Portal. Féiert se aus demselwechte Netzwierk aus, deen de Client wäert benotzen, a liest, wéi eng Porten äntweren, net wéi eng an engem Dokument stoen. Hält d’Resultat, well déi selwecht Porten entscheeden, wéi ee Client de Gateway-Besëtzer ënnerstëtze soll. Sondéiert aus dem Client-Netzwierk an net vun engem Host niewent dem Gateway.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

En oppenen 443 mat enger Ëmleitung op eng Umeldungssäit an Stille op 500 an 4500 weist op eng SSL VPN hin. Oppe 500 an 4500 mat engem Zertifikat, dat op 443 zerwéiert gëtt, leet en IPsec-Gateway no, deen och e Web-Frontend bedreift, a genee dee Fall war de Grond, firwat vpnc gebaut gouf.

Dem Check Point säin SSL Network Extender an dem Nortel säin Aventail-Client gehéieren allebéid an déi zweet Kategorie, an keen vun deenen zwee akzeptéiert en IKEv1-Gruppegeheimnis.

Wat de vpnc-Profil ausdrécke kann a wat net

Ënner der Hauf féiert vpnc IKEv1 géint en im Viraus gedeelte Gruppeschlëssel aus a schéckt dann d’Umeldungsdaten vum eenzelne Benotzer iwwer XAuth. Alles a senger Konfiguratiounsdatei gehéiert zu deem Austausch: Gateway, Gruppennumm, Gruppegeheimnis, Benotzernumm a Benotzerpasswuert. Déi Felder beschreiwen een eenzegen Protokoll, an keng Kombinatioun dovun kann de Client dozou bréngen, en aneren ze schwätzen.

Dofir mécht d’Erweidere vun der Chiffrelëscht oder d’Ausschalte vu Zertifikatskontrollen ni dës Klass vu Feeler gutt. Déi Ännerunge schwächen eng Verhandlung, op déi de Gateway net lauschtert.

De Client wielen, deen zum Gateway passt

Fir en Check Point-Gateway benotzt de SNX-Pak, deen fir déi Gateway-Versioun gebaut gouf, deen den Hiersteller zesumme mat senger Fernzougriffsdokumentatioun publizéiert. Méi al SNX-Builden versoen dacks op aktuellen Distributiounen, well se 32-bit Bibliothéike erwaarden, déi net méi installéiert sinn, an en opginnene Pak ze patchen ass normalerweis méi schlëmm wéi den ënnerstëtzten Client op enger ënnerstëtzter Plattform lafen ze loossen.

Aventail-Cliente hu laang viru Joeren d’Ënnerstëtzung verluer. Wou sou en Gateway nach am Déngscht ass, sinn déi realistesch Méiglechkeeten de Browserportal, wann d’Organisatioun en aktivéiert, oder den ënnerstëtzte Client vum Hiersteller op engem ënnerstëtzten Betriebssystem.

Frot den Gateway-Besëtzer no dem Produkt an der Versioun, dem Client, deen hien ënner Linux ënnerstëtzt, an ob iwwerhaapt en IPsec-Profil existéiert. Wann et een gëtt, frot no der Gruppenidentifikatioun an dem Gruppegeheimnis als getrennte Posten, well dat ass net d’Benotzerpasswuert, an e verwiesselte Puer ass déi aner heefeg Ursaach vun engem gescheiterten Tunnel. Wann eng Verbindung endlech geléngt, notéiert, wéi ee Protokoll ausgehandelt gouf, sou datt déi nächst Persoun vun enger Tatsaach aus geet amplaz déiselwecht Viraussetzung ze widderhuelen.