vpnc mot Check Point eller Nortel: kvifor det heng

Symptomet er lett å lese feil: vpnc startar, spør etter gruppepassordet og blir så ståande på eit forhandlingstrinn til det rapporterer at det ikkje kjem svar frå målet. Ingenting i utdataa nemner produktet til gatewayen, og kontoen verkar frå ein nettlesar, så den openberre slutninga er eit feil passord eller ein blokkert port. I dei fleste av desse tilfella er gatewayen ikkje ein IPsec-peer i det heile, så utvekslinga kjem aldri langt nok til å teste legitimasjon. Det mønsteret er verdt å teste før noko anna i profilen blir endra.

Identifiser produktet før du redigerer eit anna profilfelt.

Feilen ser ut som feil legitimasjon

vpnc byrjar med å sende IKE til UDP 500 og, om NAT-traversering blir tilbode, til UDP 4500. Ein gateway som avsluttar SSL i staden for IPsec svarar ikkje på nokon av dei, så klienten prøver på nytt og gir til slutt opp med ein generisk feil. Viss same konto verkar gjennom ein nettlesarportal som lastar ein liten hjelpeapplikasjon, er det eit sterkt hint om at tunnelen er SSL-basert og at klienten spør om feil ting.

Eit mislukka forsøk her seier ingenting om brukarkontoen, fordi det aldri blei lagt fram legitimasjon for gatewayen.

Sjekk kva protokoll gatewayen tilbyr

To minutt med undersøking skil ein IPsec-peer frå ein SSL-portal. Køyr dei frå same nettverket som klienten skal bruke, og les kva portar som svarar i staden for kva som står i eit dokument. Ta vare på resultatet, for dei same portane avgjer kva klient eigaren av gatewayen bør støtte. Undersøk frå klientnettet og ikkje frå ein vert ved sida av gatewayen.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Ein open 443 med omdirigering til ei påloggingsside og stillheit på 500 og 4500 peikar på ein SSL VPN. Opne 500 og 4500 med eit sertifikat som blir servert på 443 tyder på ein IPsec-gateway som også køyrer eit webgrensesnitt, og det er tilfellet vpnc blei bygd for.

SSL Network Extender frå Check Point og Aventail-klienten frå Nortel høyrer begge til den andre kategorien, og ingen av dei godtek ein IKEv1-gruppehemmelegheit.

Kva vpnc-profilen kan og ikkje kan uttrykkje

Under panseret køyrer vpnc IKEv1 mot ein på førehand delt gruppenøkkel og sender deretter legitimasjonen til den einskilde brukaren gjennom XAuth. Alt i konfigurasjonsfila høyrer til den utvekslinga: gateway, gruppenamn, gruppehemmelegheit, brukarnamn og brukarpassord. Desse felta skildrar éin protokoll, og ingen kombinasjon av dei kan få klienten til å snakke ein annan.

Derfor rettar aldri utviding av chifferserien eller deaktivering av sertifikatkontrollar denne typen feil. Desse endringane svekkjer ei forhandling som gatewayen ikkje lyttar etter.

Velje klienten som passar gatewayen

For ein Check Point-gateway brukar du SNX-pakken som er bygd for den gatewayversjonen, som leverandøren publiserer saman med dokumentasjonen for fjernåtkomst. Eldre SNX-bygg feilar ofte på gjeldande distribusjonar fordi dei ventar 32-bit-bibliotek som ikkje lenger er installerte, og å lappe ein forlaten pakke er vanlegvis verre enn å køyre den støtta klienten på ein støtta plattform.

Aventail-klientar mista støtta for lenge sidan. Der ein slik gateway framleis er i drift, er dei realistiske vala nettlesarportalen om organisasjonen aktiverer han, eller den støtta klienten til leverandøren på eit støtta operativsystem.

Spør eigaren av gatewayen om produktet og versjonen, klienten dei støttar på Linux, og om det i det heile finst ein IPsec-profil. Viss det gjer det, be om gruppeidentifikatoren og gruppehemmelegheita som separate element, fordi dei ikkje er brukarpassordet, og eit ombytt par er den andre vanlege årsaka til ein mislukka tunnel. Når ei tilkopling endeleg lukkast, noter kva protokoll som blei forhandla, slik at neste person startar frå eit faktum i staden for å gjenta same gjetninga.