vpnc kontra Check Point jew Nortel: għaliex jiddendel

Is-sintomu faċli tinqrah ħażin: vpnc jibda, jitlob il-password tal-grupp, u mbagħad joqgħod f’pass tan-negozjati sakemm jirrapporta li ma ġie l-ebda tweġiba mill-mira. Xejn fl-output ma jsemmi l-prodott tal-gateway, u l-kont jaħdem mill-browser, għalhekk il-konklużjoni ovvja hija password ħażina jew port imblukkat. F’ħafna minn dawn il-każijiet il-gateway mhuwiex IPsec peer xejn, għalhekk l-iskambju qatt ma jasal biex jittestja l-kredenzjali. Dak il-mudell jistħoqqlu test qabel ma jinbidel xi ħaġa oħra fil-profil.

Identifika l-prodott qabel ma timmodifika qasam ieħor tal-profil.

Il-falliment jidher bħal kredenzjali ħżiena

vpnc jibda billi jibgħat IKE lejn UDP 500 u, jekk jiġi offrut NAT traversal, lejn UDP 4500. Gateway li jtemm SSL minflok IPsec ma jwieġeb għal xejn minnhom, għalhekk il-klijent jerġa’ jipprova u fl-aħħar iċedi b’żball ġeneriku. Jekk l-istess kont jaħdem permezz ta’ portal tal-browser li jgħabbi applikazzjoni żgħira ta’ għajnuna, dan huwa indikazzjoni qawwija li t-tunnel huwa bbażat fuq SSL u li l-klijent qed jistaqsi l-mistoqsija ħażina.

Tentattiv fallut hawn ma jgħid xejn dwar il-kont tal-utent, għax qatt ma ġew ippreżentati kredenzjali lill-gateway.

Iċċekkja liema protokoll joffri l-gateway

Żewġ minuti ta’ tkixxif jifirdu IPsec peer minn portal SSL. Mexxihom mill-istess netwerk li se juża l-klijent, u aqra liema portijiet iwieġbu u mhux liema jidhru f’dokument. Żomm ir-riżultat, għax dawk l-istess portijiet jiddeċiedu liema klijent għandu jappoġġja s-sid tal-gateway. Ikkixxef min-netwerk tal-klijent u mhux minn host ħdejn il-gateway.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

443 miftuħ b’ridirezzjoni għal paġna tal-login u skiet fuq 500 u 4500 jindika SSL VPN. 500 u 4500 miftuħa b’ċertifikat moqdi fuq 443 jissuġġerixxu gateway IPsec li jmexxi wkoll frontend web, u dan huwa l-każ li għalih inbena vpnc.

SSL Network Extender ta’ Check Point u l-klijent Aventail ta’ Nortel it-tnejn jinsabu fit-tieni kategorija, u ħadd minnhom ma jaċċetta sigriet ta’ grupp IKEv1.

X’jista’ u x’ma jistax jesprimi l-profil ta’ vpnc

Taħt il-bonnet vpnc iħaddem IKEv1 kontra ċavetta tal-grupp maqsuma minn qabel, imbagħad jibgħat il-kredenzjali tal-utent individwali permezz ta’ XAuth. Kollox fil-fajl tal-konfigurazzjoni tiegħu jappartjeni għal dak l-iskambju: gateway, isem tal-grupp, sigriet tal-grupp, isem tal-utent u password tal-utent. Dawk il-qasmiet jiddeskrivu protokoll wieħed, u l-ebda kombinazzjoni tagħhom ma tista’ ġġiegħel lill-klijent jitkellem ieħor.

Għalhekk it-twessigħ tal-lista taċ-ċifraturi jew it-tifi tal-verifiki taċ-ċertifikati qatt ma jsewwi din il-klassi ta’ falliment. Dawk il-bidliet idgħajfu negozjati li l-gateway mhux qed jisma’.

L-għażla tal-klijent li jaqbel mal-gateway

Għal gateway Check Point uża il-pakkett SNX mibni għal dik il-verżjoni tal-gateway, li l-fornitur jippubblika flimkien mad-dokumentazzjoni tal-aċċess mill-bogħod. Il-bini SNX anzjani spiss ifallu fuq id-distribuzzjonijiet attwali għax jistennew libreriji 32-bit li m’għadhomx installati, u li ttaffi pakkett abbandunat ġeneralment huwa agħar milli tmexxi l-klijent appoġġjat fuq pjattaforma appoġġjata.

Il-klijenti Aventail tilfu l-appoġġ ilu ħafna. Fejn gateway bħal dan għadu fis-servizz, l-għażliet realistiċi huma l-portal tal-browser jekk l-organizzazzjoni tattivah, jew il-klijent appoġġjat tal-fornitur fuq sistema operattiva appoġġjata.

Staqsi lis-sid tal-gateway dwar il-prodott u l-verżjoni, il-klijent li jappoġġjaw fuq Linux, u jekk jeżistix profil IPsec xejn. Jekk jeżisti, itlob l-identifikatur tal-grupp u s-sigriet tal-grupp bħala oġġetti separati, għax mhumiex il-password tal-utent u par imħallat huwa l-kawża komuni l-oħra ta’ tunnel fallut. Meta konnessjoni fl-aħħar tirnexxi, innota liema protokoll ġie nnegozjat biex il-persuna li jmiss tibda minn fatt minflok ma tirrepeti l-istess suppożizzjoni.