vpnc против Check Point или Nortel: зошто виси

Симптомот лесно се чита погрешно: vpnc стартува, бара групна лозинка, потоа останува на чекор од преговорите додека не пријави дека нема одговор од целта. Во излезот никаде не се споменува производот на портата, а сметката работи од прелистувач, па очигледниот заклучок е погрешна лозинка или блокиран порт. Во повеќето од овие случаи портата воопшто не е IPsec партнер, затоа размената никогаш не стигнува до проверка на акредитивите. Овој образец вреди да се провери пред да се смени нешто друго во профилот.

Утврдете го производот пред да уредите друго поле во профилот.

Неуспехот изгледа како погрешни акредитиви

vpnc почнува со испраќање IKE кон UDP 500 и, ако се нуди поминување низ NAT, кон UDP 4500. Порта што завршува SSL наместо IPsec не одговара на ниту едното, па клиентот повторно обидува и на крајот се откажува со општа грешка. Ако истата сметка работи преку портал во прелистувач што вчитува мала помошна апликација, тоа е силен знак дека тунелот се базира на SSL и дека клиентот го поставува погрешното прашање.

Неуспешниот обид овде не кажува ништо за корисничката сметка, бидејќи на портата никогаш не и беа претставени акредитиви.

Проверете кој протокол го нуди портата

Две минути проверка го одвојуваат IPsec партнерот од SSL порталот. Извршете ги од истата мрежа што ќе ја користи клиентот, и читајте кои порти одговараат, а не кои се наведени во документ. Зачувајте го резултатот, бидејќи истите тие порти одлучуваат кој клиент сопственикот на портата треба да го поддржува. Проверувајте од клиентската мрежа, а не од домаќин покрај портата.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Отворен 443 со пренасочување кон страница за најава и тишина на 500 и 4500 укажува на SSL VPN. Отворени 500 и 4500 со сертификат што се служи на 443 укажуваат на IPsec порта што води и веб-интерфејс, а токму за тој случај е изградено vpnc.

SSL Network Extender на Check Point и клиентот Aventail на Nortel и двата припаѓаат на втората категорија, и ниту еден не прифаќа групна тајна за IKEv1.

Што може и што не може да изрази профилот на vpnc

Под хаубата vpnc извршува IKEv1 против групен однапред споделен клуч, потоа ги испраќа акредитивите на поединечниот корисник преку XAuth. Сѐ во неговата конфигурациска датотека припаѓа на таа размена: порта, име на група, групна тајна, корисничко име и корисничка лозинка. Тие полиња опишуваат еден протокол, и ниту една нивна комбинација не може да го натера клиентот да зборува друг.

Затоа проширувањето на списокот на шифри или исклучувањето на проверките на сертификати никогаш не го поправа овој вид неуспех. Тие промени ги ослабнуваат преговорите што портата не ги слуша.

Избор на клиент што одговара на портата

За порта Check Point користете пакетот SNX изграден за тоа издание на портата, кој добавувачот го објавува заедно со документацијата за далечински пристап. Постарите SNX градби често паѓаат на тековните дистрибуции затоа што очекуваат 32-bit библиотеки што веќе не се инсталирани, а крпењето напуштен пакет обично е полошо од водење на поддржаниот клиент на поддржана платформа.

Клиентите Aventail одамна ја загубија поддршката. Каде таква порта сѐ уште е во служба, реалните избори се порталот во прелистувач ако организацијата го овозможи, или поддржаниот клиент на добавувачот на поддржан оперативен систем.

Прашајте го сопственикот на портата за производот и верзијата, клиентот што го поддржуваат на Linux, и дали воопшто постои IPsec профил. Ако постои, побарајте групниот идентификатор и групната тајна како одделни ставки, бидејќи тие не се корисничката лозинка, а заменет пар е другата честа причина за неуспешен тунел. Кога врската конечно успее, запишете кој протокол е договорен, за да почне следниот човек од факт наместо да го повторува истото претпоставување.