vpnc proti Check Pointu alebo Nortelu: prečo zamrzne

Príznak sa dá ľahko prečítať nesprávne: vpnc sa spustí, vypýta si skupinové heslo a potom zostane stáť na kroku vyjednávania, kým neohlási, že od cieľa neprichádza žiadna odpoveď. Výstup o produkte brány nič nehovorí a účet funguje z prehliadača, takže zrejmým záverom je nesprávne heslo alebo blokovaný port. Vo väčšine týchto prípadov brána vôbec nie je protistranou IPsec, takže výmena sa nikdy nedostane k overeniu prihlasovacích údajov. Ten vzor stojí za otestovanie skôr, než sa v profile zmení čokoľvek ďalšie.

Pred úpravou ďalšieho poľa profilu identifikujte produkt.

Zlyhanie vyzerá ako nesprávne prihlasovacie údaje

vpnc začína odoslaním IKE na UDP 500 a, ak je ponúknutý priechod NAT, na UDP 4500. Brána, ktorá ukončuje SSL namiesto IPsec, neodpovedá na ani jedno, takže klient to skúša znova a napokon to vzdá so všeobecnou chybou. Ak ten istý účet funguje cez portál v prehliadači, ktorý načítava malú pomocnú aplikáciu, je to silný náznak, že tunel je založený na SSL a klient sa pýta na nesprávnu vec.

Neúspešný pokus tu o používateľskom účte nič nehovorí, pretože bráne nikdy neboli predložené prihlasovacie údaje.

Zistite, ktorý protokol brána ponúka

Dve minúty testovania oddelia protistranu IPsec od portálu SSL. Spustite ich z tej istej siete, ktorú bude klient používať, a čítajte, ktoré porty odpovedajú, nie ktoré sú uvedené v dokumente. Výsledok si uložte, pretože práve tieto porty určujú, ktorého klienta má vlastník brány podporovať. Testujte z klientskej siete, nie z hostiteľa vedľa brány.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Otvorený 443 s presmerovaním na prihlasovaciu stránku a ticho na 500 a 4500 ukazuje na SSL VPN. Otvorené 500 a 4500 s certifikátom na 443 naznačuje bránu IPsec, ktorá prevádzkuje aj webové rozhranie, a to je prípad, pre ktorý bol vpnc postavený.

SSL Network Extender od Check Pointu aj klient Aventail od Nortelu patria do druhej kategórie a ani jeden neprijíma skupinové tajomstvo IKEv1.

Čo profil vpnc dokáže a čo nedokáže vyjadriť

Pod kapotou vpnc spúšťa IKEv1 proti skupinovému vopred zdieľanému kľúču a potom posiela prihlasovacie údaje jednotlivého používateľa cez XAuth. Všetko v jeho konfiguračnom súbore patrí k tejto výmene: brána, názov skupiny, skupinové tajomstvo, používateľské meno a používateľské heslo. Tieto polia opisujú jediný protokol a žiadna ich kombinácia nemôže prinútiť klienta hovoriť iným.

Preto rozšírenie zoznamu šifier alebo vypnutie kontrol certifikátov nikdy neopraví túto triedu zlyhania. Tie zmeny oslabujú vyjednávanie, na ktoré brána nepočúva.

Výber klienta, ktorý zodpovedá bráne

Pre bránu Check Point použite balík SNX zostavený pre toto vydanie brány, ktorý dodávateľ zverejňuje spolu s dokumentáciou pre vzdialený prístup. Staršie zostavenia SNX na súčasných distribúciách často zlyhávajú, pretože očakávajú 32-bit knižnice, ktoré už nie sú nainštalované, a záplatovanie opusteného balíka je zvyčajne horšie ako prevádzka podporovaného klienta na podporovanej platforme.

Klienti Aventail stratili podporu už dávno. Tam, kde takáto brána ešte slúži, sú realistické možnosti portál v prehliadači, ak ho organizácia zapne, alebo dodávateľom podporovaný klient na podporovanom operačnom systéme.

Spýtajte sa vlastníka brány na produkt a verziu, na klienta, ktorého podporujú v Linuxe, a či vôbec existuje profil IPsec. Ak existuje, vyžiadajte identifikátor skupiny a skupinové tajomstvo ako samostatné položky, pretože to nie je používateľské heslo a prehodená dvojica je ďalšou častou príčinou nefunkčného tunela. Keď spojenie konečne uspeje, poznamenajte si, ktorý protokol bol vyjednaný, aby ďalší človek začal od faktu namiesto opakovania rovnakého odhadu.