vpnc terhadap Check Point atau Nortel: mengapa ia tergantung

Gejalanya mudah disalahtafsir: vpnc bermula, meminta kata laluan kumpulan, kemudian duduk pada langkah rundingan sehingga melaporkan tiada respons daripada sasaran. Tiada apa-apa dalam output menyebut produk get laluan, dan akaun berfungsi dari pelayar, jadi kesimpulan yang jelas ialah kata laluan salah atau port terhalang. Dalam kebanyakan kes ini get laluan langsung bukan rakan IPsec, jadi pertukaran tidak pernah sampai cukup jauh untuk menguji kelayakan. Corak itu wajar diuji sebelum apa-apa lagi dalam profil diubah.

Kenal pasti produk itu sebelum menyunting medan profil yang lain.

Kegagalan kelihatan seperti kelayakan yang salah

vpnc bermula dengan menghantar IKE ke UDP 500 dan, jika lintasan NAT ditawarkan, ke UDP 4500. Get laluan yang menamatkan SSL dan bukan IPsec tidak menjawab kedua-duanya, jadi klien mencuba lagi dan akhirnya berputus asa dengan ralat generik. Jika akaun yang sama berfungsi melalui portal pelayar yang memuatkan aplikasi pembantu kecil, itu petunjuk kuat bahawa terowong berasaskan SSL dan klien bertanya soalan yang salah.

Percubaan yang gagal di sini tidak berkata apa-apa tentang akaun pengguna, kerana tiada kelayakan pernah dikemukakan kepada get laluan.

Periksa protokol mana yang ditawarkan get laluan

Dua minit siasatan memisahkan rakan IPsec daripada portal SSL. Jalankannya dari rangkaian yang sama yang akan digunakan klien, dan baca port mana yang menjawab dan bukan port mana yang tercatat dalam dokumen. Simpan hasilnya, kerana port yang sama itulah yang menentukan klien mana yang patut disokong oleh pemilik get laluan. Siasat dari rangkaian klien dan bukan dari hos di sebelah get laluan.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

443 terbuka dengan ubah hala ke halaman log masuk dan kesunyian pada 500 dan 4500 menunjuk kepada SSL VPN. 500 dan 4500 terbuka dengan sijil yang disajikan pada 443 mencadangkan get laluan IPsec yang juga menjalankan antara muka web, dan itulah kes yang menjadi sebab vpnc dibina.

SSL Network Extender daripada Check Point dan klien Aventail daripada Nortel kedua-duanya berada dalam kategori kedua, dan tiada satu pun menerima rahsia kumpulan IKEv1.

Apa yang boleh dan tidak boleh diungkapkan oleh profil vpnc

Di sebalik tabir vpnc menjalankan IKEv1 terhadap kunci yang dikongsi terlebih dahulu untuk kumpulan, kemudian menghantar kelayakan pengguna individu melalui XAuth. Semua yang ada dalam fail konfigurasinya tergolong dalam pertukaran itu: get laluan, nama kumpulan, rahsia kumpulan, nama pengguna dan kata laluan pengguna. Medan itu menerangkan satu protokol, dan tiada gabungan daripadanya boleh membuat klien bertutur yang lain.

Itulah sebabnya meluaskan senarai sifer atau mematikan pemeriksaan sijil tidak pernah membaiki kelas kegagalan ini. Perubahan itu melemahkan rundingan yang tidak didengari get laluan.

Memilih klien yang sepadan dengan get laluan

Untuk get laluan Check Point, gunakan pakej SNX yang dibina untuk keluaran get laluan itu, yang diterbitkan vendor bersama dokumentasi akses jauhnya. Binaan SNX lama sering gagal pada distribusi semasa kerana menjangka pustaka 32-bit yang tidak lagi dipasang, dan menampal pakej yang terabai biasanya lebih buruk daripada menjalankan klien yang disokong pada platform yang disokong.

Klien Aventail hilang sokongan sejak dahulu. Di tempat get laluan sebegitu masih beroperasi, pilihan realistik ialah portal pelayar jika organisasi mengaktifkannya, atau klien yang disokong vendor pada sistem pengendalian yang disokong.

Tanya pemilik get laluan tentang produk dan versinya, klien yang mereka sokong pada Linux, dan sama ada profil IPsec wujud langsung. Jika ada, minta pengecam kumpulan dan rahsia kumpulan sebagai dua perkara berasingan, kerana itu bukan kata laluan pengguna dan pasangan yang tertukar ialah punca biasa lain bagi terowong yang gagal. Apabila sambungan akhirnya berjaya, catat protokol mana yang dirundingkan supaya orang seterusnya bermula daripada fakta dan bukan mengulangi tekaan yang sama.