vpnc proti Check Pointu ali Nortelu: zakaj se ustavi

Simptom zlahka napačno preberemo: vpnc se zažene, zahteva geslo skupine in nato obstane na koraku pogajanj, dokler ne sporoči, da s cilja ni odgovora. V izhodu ni nikjer omenjen izdelek prehoda, račun pa deluje iz brskalnika, zato je očiten sklep napačno geslo ali blokirana vrata. V večini teh primerov prehod sploh ni partner IPsec, zato izmenjava nikoli ne pride do preverjanja poverilnic. Ta vzorec velja preizkusiti, preden se v profilu spremeni karkoli drugega.

Določite izdelek, preden uredite drugo polje profila.

Napaka je videti kot napačne poverilnice

vpnc začne s pošiljanjem IKE na UDP 500 in, če je ponujen prehod NAT, na UDP 4500. Prehod, ki zaključi SSL namesto IPsec, ne odgovori na nobeno od obeh, zato odjemalec poskusi znova in na koncu obupa s splošno napako. Če isti račun deluje prek portala v brskalniku, ki naloži majhno pomožno aplikacijo, je to močan namig, da tunel temelji na SSL in da odjemalec postavlja napačno vprašanje.

Neuspešen poskus tu ne pove nič o uporabniškem računu, ker prehodu nikoli niso bile predložene poverilnice.

Preverite, kateri protokol ponuja prehod

Dve minuti preizkušanja ločita partnerja IPsec od portala SSL. Zaženite ju iz istega omrežja, ki ga bo uporabljal odjemalec, in berite, katera vrata odgovarjajo, ne katera so v dokumentu. Rezultat shranite, ker prav ta vrata določajo, katerega odjemalca naj bi lastnik prehoda podpiral. Preizkušajte iz odjemalčevega omrežja in ne z gostitelja ob prehodu.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Odprt 443 s preusmeritvijo na prijavno stran in tišina na 500 in 4500 kažeta na SSL VPN. Odprta 500 in 4500 s potrdilom, ki se streže na 443, nakazujeta prehod IPsec, ki poganja tudi spletni vmesnik, in prav za ta primer je bil vpnc zgrajen.

SSL Network Extender podjetja Check Point in odjemalec Aventail podjetja Nortel spadata oba v drugo kategorijo in noben ne sprejme skupinske skrivnosti IKEv1.

Kaj profil vpnc zmore in česa ne more izraziti

Pod pokrovom vpnc izvaja IKEv1 proti vnaprej souporabljenemu skupinskemu ključu in nato pošlje poverilnice posameznega uporabnika prek XAuth. Vse v njegovi konfiguracijski datoteki pripada tej izmenjavi: prehod, ime skupine, skupinska skrivnost, uporabniško ime in uporabniško geslo. Ta polja opisujejo en protokol in nobena njihova kombinacija ne more odjemalca prisiliti, da bi govoril drugega.

Zato razširitev seznama šifer ali izklop preverjanja potrdil nikoli ne odpravi te vrste napake. Te spremembe oslabijo pogajanja, ki jih prehod ne posluša.

Izbira odjemalca, ki ustreza prehodu

Za prehod Check Point uporabite paket SNX, zgrajen za to izdajo prehoda, ki ga ponudnik objavi skupaj z dokumentacijo za oddaljeni dostop. Starejše gradnje SNX na trenutnih distribucijah pogosto odpovedo, ker pričakujejo 32-bit knjižnice, ki niso več nameščene, in krpanje opuščenega paketa je običajno slabše od izvajanja podprtega odjemalca na podprti platformi.

Odjemalci Aventail so podporo izgubili že davno. Kjer tak prehod še deluje, so realne možnosti portal v brskalniku, če ga organizacija omogoči, ali ponudnikov podprti odjemalec na podprtem operacijskem sistemu.

Vprašajte lastnika prehoda o izdelku in različici, o odjemalcu, ki ga podpira v Linuxu, in ali profil IPsec sploh obstaja. Če obstaja, zahtevajte identifikator skupine in skupinsko skrivnost kot ločeni postavki, ker to ni uporabniško geslo, zamenjani par pa je drug pogost vzrok neuspešnega tunela. Ko povezava končno uspe, zapišite, kateri protokol je bil dogovorjen, da bo naslednja oseba začela z dejstvom, namesto da bi ponavljala isto domnevo.