vpnc pret Check Point vai Nortel: kāpēc tas iekaras

Simptomu ir viegli nolasīt nepareizi: vpnc sāk darbu, pieprasa grupas paroli un pēc tam paliek sarunu solī, līdz ziņo, ka no mērķa nav atbildes. Izvadē nekur nav minēts vārtejas produkts, un konts darbojas pārlūkā, tāpēc acīmredzamais secinājums ir nepareiza parole vai bloķēta ports. Vairumā šo gadījumu vārteja nemaz nav IPsec partneris, tāpēc apmaiņa nekad nesasniedz akreditācijas datu pārbaudi. Šo modeli ir vērts pārbaudīt pirms kaut kā cita maiņas profilā.

Nosakiet produktu, pirms rediģējat citu profila lauku.

Kļūme izskatās kā nepareizi akreditācijas dati

vpnc sāk, sūtot IKE uz UDP 500 un, ja tiek piedāvāta NAT pāreja, uz UDP 4500. Vārteja, kas izbeidz SSL, nevis IPsec, neatbild uz nevienu no tiem, tāpēc klients mēģina vēlreiz un beigās padodas ar vispārīgu kļūdu. Ja tas pats konts darbojas caur pārlūka portālu, kas ielādē nelielu palīgprogrammu, tas ir spēcīga norāde, ka tunelis balstās uz SSL un klients uzdod nepareizo jautājumu.

Neizdevies mēģinājums šeit neko neizsaka par lietotāja kontu, jo vārtejai nekad netika uzrādīti akreditācijas dati.

Pārbaudiet, kādu protokolu vārteja piedāvā

Divas minūtes pārbaudes atdala IPsec partneri no SSL portāla. Palaidiet tās no tā paša tīkla, kuru izmantos klients, un lasiet, kuri porti atbild, nevis kuri ir norādīti dokumentā. Saglabājiet rezultātu, jo tie paši porti nosaka, kuru klientu vārtejas īpašniekam vajadzētu atbalstīt. Pārbaudiet no klienta tīkla, nevis no resursdatora blakus vārtejai.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Atvērts 443 ar pāradresāciju uz pieteikšanās lapu un klusums 500 un 4500 portos norāda uz SSL VPN. Atvērti 500 un 4500 ar sertifikātu, kas tiek pasniegts uz 443, liecina par IPsec vārteju, kas vienlaikus uztur arī tīmekļa saskarni, un tieši šim gadījumam vpnc tika būvēts.

Check Point SSL Network Extender un Nortel Aventail klients abi pieder otrajai kategorijai, un neviens nepieņem IKEv1 grupas noslēpumu.

Ko vpnc profils spēj un ko nespēj izteikt

Zem pārsega vpnc izpilda IKEv1 pret iepriekš kopīgu grupas atslēgu un pēc tam nosūta atsevišķa lietotāja akreditācijas datus caur XAuth. Viss tā konfigurācijas failā pieder šai apmaiņai: vārteja, grupas nosaukums, grupas noslēpums, lietotājvārds un lietotāja parole. Šie lauki apraksta vienu protokolu, un neviena to kombinācija nevar likt klientam runāt citā.

Tāpēc šifru saraksta paplašināšana vai sertifikātu pārbaužu izslēgšana nekad neizlabo šo kļūdu klasi. Šīs izmaiņas vājina sarunas, kurās vārteja neklausās.

Vārtējai atbilstoša klienta izvēle

Check Point vārtējai izmantojiet šai vārtējas versijai būvēto SNX pakotni, ko piegādātājs publicē kopā ar attālinātās piekļuves dokumentāciju. Vecākas SNX būves bieži cieš neveiksmi pašreizējās distribūcijās, jo sagaida 32-bit bibliotēkas, kas vairs nav instalētas, un pamestas pakotnes lāpīšana parasti ir sliktāka nekā atbalstīta klienta darbināšana atbalstītā platformā.

Aventail klienti atbalstu zaudēja sen. Vietās, kur šāda vārteja vēl darbojas, reālās izvēles ir pārlūka portāls, ja organizācija to iespējo, vai piegādātāja atbalstītais klients atbalstītā operētājsistēmā.

Jautājiet vārtejas īpašniekam par produktu un versiju, klientu, ko viņi atbalsta Linux vidē, un vai vispār pastāv IPsec profils. Ja pastāv, pieprasiet grupas identifikatoru un grupas noslēpumu kā atsevišķas pozīcijas, jo tie nav lietotāja parole, un samainīts pāris ir cits bieži sastopams neizdevušās tuneles cēlonis. Kad savienojums beidzot izdodas, pierakstiet, par kuru protokolu tika vienots, lai nākamais cilvēks sāktu no fakta, nevis atkārtotu to pašu pieņēmumu.