vpnc prieš Check Point ar Nortel: kodėl jis užstringa

Simptomą lengva perskaityti neteisingai: vpnc paleidžiamas, paprašo grupės slaptažodžio, o paskui sustoja derybų žingsnyje ir praneša, kad iš tikslo negaunamas atsakymas. Išvestyje niekur neminimas tarpinės produktas, o paskyra veikia naršyklėje, todėl akivaizdi išvada – neteisingas slaptažodis arba užblokuotas prievadas. Daugeliu šių atvejų tarpinė visai nėra IPsec partneris, todėl apsikeitimas niekada nepasiekia prisijungimo duomenų patikros. Šį modelį verta patikrinti prieš keičiant ką nors kita profilyje.

Nustatykite produktą prieš redaguodami kitą profilio lauką.

Gedimas atrodo kaip neteisingi prisijungimo duomenys

vpnc pradeda siųsdamas IKE į UDP 500 ir, jei siūlomas NAT perėjimas, į UDP 4500. Tarpinė, kuri užbaigia SSL, o ne IPsec, neatsako nė į vieną, todėl klientas kartoja bandymą ir galiausiai pasiduoda su bendra klaida. Jei ta pati paskyra veikia per naršyklės portalą, įkeliantį nedidelę pagalbinę programą, tai stiprus požymis, kad tunelis pagrįstas SSL ir klientas užduoda netinkamą klausimą.

Nepavykęs bandymas čia nieko nesako apie naudotojo paskyrą, nes tarpinei niekada nebuvo pateikti prisijungimo duomenys.

Patikrinkite, kokį protokolą siūlo tarpinė

Dvi minutės tyrimo atskiria IPsec partnerį nuo SSL portalo. Vykdykite juos iš to paties tinklo, kurį naudos klientas, ir skaitykite, kurie prievadai atsako, o ne kurie nurodyti dokumente. Išsaugokite rezultatą, nes tie patys prievadai lemia, kurį klientą turėtų palaikyti tarpinės savininkas. Tikrinkite iš kliento tinklo, o ne iš šeimininko prie tarpinės.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Atviras 443 su nukreipimu į prisijungimo puslapį ir tyla 500 bei 4500 prievaduose rodo SSL VPN. Atviri 500 ir 4500 su 443 pateikiamu sertifikatu leidžia manyti, kad tai IPsec tarpinė, kuri taip pat paleidžia žiniatinklio sąsają, o būtent šiam atvejui vpnc ir buvo sukurtas.

Check Point SSL Network Extender ir Nortel Aventail klientas abu priklauso antrajai kategorijai, ir nė vienas nepriima IKEv1 grupės paslapties.

Ką vpnc profilis gali ir ko negali išreikšti

Po gaubtu vpnc vykdo IKEv1 su iš anksto bendrai naudojamu grupės raktu, o po to siunčia atskiro naudotojo prisijungimo duomenis per XAuth. Viskas jo konfigūracijos faile priklauso tam apsikeitimui: tarpinė, grupės pavadinimas, grupės paslaptis, naudotojo vardas ir naudotojo slaptažodis. Tie laukai aprašo vieną protokolą, ir jokia jų kombinacija negali priversti kliento kalbėti kitu.

Štai kodėl šifrų sąrašo išplėtimas ar sertifikatų patikros išjungimas niekada neištaiso šios klasės gedimo. Tie pakeitimai susilpnina derybas, kurių tarpinė neklauso.

Tinkamo kliento pasirinkimas

Check Point tarpinei naudokite tai tarpinės versijai sukurtą SNX paketą, kurį tiekėjas skelbia kartu su nuotolinės prieigos dokumentacija. Senesni SNX rinkiniai dažnai nepavyksta dabartinėse distribucijose, nes tikisi 32-bit bibliotekų, kurios nebėra įdiegtos, o apleisto paketo lopymas paprastai yra blogiau nei palaikomo kliento vykdymas palaikomoje platformoje.

Aventail klientai palaikymo neteko seniai. Ten, kur tokia tarpinė dar naudojama, realios galimybės yra naršyklės portalas, jei organizacija jį įjungia, arba tiekėjo palaikomas klientas palaikomoje operacinėje sistemoje.

Paklauskite tarpinės savininko apie produktą ir versiją, klientą, kurį jie palaiko Linux sistemoje, ir ar apskritai yra IPsec profilis. Jei yra, paprašykite grupės identifikatoriaus ir grupės paslapties kaip atskirų elementų, nes tai ne naudotojo slaptažodis, o sukeistos poros – kita dažna nepavykusio tunelio priežastis. Kai ryšys pagaliau pavyksta, užrašykite, dėl kokio protokolo buvo susitarta, kad kitas žmogus pradėtų nuo fakto, o ne kartotų tą patį spėjimą.