vpnc împotriva Check Point sau Nortel: de ce se blochează

Simptomul se citește ușor greșit: vpnc pornește, cere parola grupului și apoi rămâne într-un pas de negociere până când raportează că nu vine niciun răspuns de la țintă. Nimic din ieșire nu menționează produsul gateway-ului, iar contul funcționează din browser, deci concluzia evidentă este o parolă greșită sau un port blocat. În majoritatea acestor cazuri gateway-ul nu este deloc un partener IPsec, așa că schimbul nu ajunge niciodată să testeze acreditările. Merită testat acest tipar înainte de a schimba orice altceva în profil.

Identificați produsul înainte de a edita alt câmp al profilului.

Eșecul arată ca acreditări greșite

vpnc începe prin a trimite IKE către UDP 500 și, dacă se oferă traversarea NAT, către UDP 4500. Un gateway care termină SSL în loc de IPsec nu răspunde la niciunul, așa că clientul reîncearcă și în cele din urmă renunță cu o eroare generică. Dacă același cont funcționează printr-un portal de browser care încarcă o mică aplicație auxiliară, acesta este un indiciu puternic că tunelul se bazează pe SSL și că clientul pune întrebarea greșită.

O încercare eșuată aici nu spune nimic despre contul utilizatorului, pentru că nu au fost niciodată prezentate acreditări gateway-ului.

Verificați ce protocol oferă gateway-ul

Două minute de investigare separă un partener IPsec de un portal SSL. Rulați-le din aceeași rețea pe care o va folosi clientul și citiți ce porturi răspund, nu care apar într-un document. Păstrați rezultatul, pentru că exact acele porturi decid ce client ar trebui să accepte proprietarul gateway-ului. Investigați din rețeaua clientului și nu de pe un host de lângă gateway.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Un 443 deschis cu o redirecționare către o pagină de autentificare și liniște pe 500 și 4500 indică un SSL VPN. Porturile 500 și 4500 deschise cu un certificat servit pe 443 sugerează un gateway IPsec care rulează și o interfață web, iar acesta este cazul pentru care a fost construit vpnc.

SSL Network Extender de la Check Point și clientul Aventail de la Nortel aparțin amândouă celei de-a doua categorii și niciunul nu acceptă un secret de grup IKEv1.

Ce poate și ce nu poate exprima profilul vpnc

Sub capotă, vpnc rulează IKEv1 împotriva unei chei de grup partajate în prealabil, apoi trimite acreditările utilizatorului individual prin XAuth. Tot ce se află în fișierul său de configurare aparține acelui schimb: gateway, nume de grup, secret de grup, nume de utilizator și parolă de utilizator. Acele câmpuri descriu un singur protocol, iar nicio combinație a lor nu poate face clientul să vorbească altul.

De aceea extinderea listei de cifruri sau dezactivarea verificărilor de certificate nu remediază niciodată această clasă de eșec. Acele schimbări slăbesc o negociere la care gateway-ul nu ascultă.

Alegerea clientului care se potrivește gateway-ului

Pentru un gateway Check Point, folosiți pachetul SNX construit pentru acea versiune de gateway, pe care furnizorul îl publică împreună cu documentația de acces la distanță. Compilările SNX mai vechi eșuează adesea pe distribuțiile actuale pentru că așteaptă biblioteci de 32-bit care nu mai sunt instalate, iar patch-ul unui pachet abandonat este de obicei mai rău decât rularea clientului acceptat pe o platformă acceptată.

Clienții Aventail au pierdut suportul demult. Acolo unde un astfel de gateway mai este în serviciu, opțiunile realiste sunt portalul de browser dacă organizația îl activează, sau clientul acceptat al furnizorului pe un sistem de operare acceptat.

Întrebați proprietarul gateway-ului despre produs și versiune, despre clientul pe care îl acceptă pe Linux și dacă există deloc un profil IPsec. Dacă există, cereți identificatorul de grup și secretul de grup ca elemente separate, pentru că nu sunt parola utilizatorului, iar o pereche inversată este cealaltă cauză frecventă a unui tunel eșuat. Când o conexiune reușește în sfârșit, notați ce protocol a fost negociat, ca următoarea persoană să pornească de la un fapt în loc să repete aceeași presupunere.