vpnc kundër Check Point ose Nortel: pse ngec

Simptoma lexohet lehtë gabimisht: vpnc niset, kërkon fjalëkalimin e grupit dhe më pas qëndron në një hap negocimi derisa raporton se nuk vjen përgjigje nga objektivi. Asgjë në dalje nuk përmend produktin e portës, dhe llogaria funksionon nga shfletuesi, pra përfundimi i dukshëm është një fjalëkalim i gabuar ose një portë e bllokuar. Në shumicën e këtyre rasteve porta nuk është aspak një palë IPsec, kështu që shkëmbimi nuk arrin kurrë të testojë kredencialet. Ky model ia vlen të testohet përpara se të ndryshohet çdo gjë tjetër në profil.

Identifikoni produktin përpara se të redaktoni një fushë tjetër të profilit.

Dështimi duket si kredenciale të gabuara

vpnc fillon duke dërguar IKE drejt UDP 500 dhe, nëse ofrohet kalimi NAT, drejt UDP 4500. Një portë që përfundon SSL në vend të IPsec nuk përgjigjet për asnjërën, kështu që klienti provon përsëri dhe më në fund heq dorë me një gabim të përgjithshëm. Nëse e njëjta llogari funksionon përmes një portali shfletuesi që ngarkon një aplikacion të vogël ndihmës, ky është një tregues i fortë se tuneli bazohet në SSL dhe se klienti po bën pyetjen e gabuar.

Një tentativë e dështuar këtu nuk thotë asgjë për llogarinë e përdoruesit, sepse portës nuk iu prezantuan kurrë kredenciale.

Kontrolloni cilin protokoll ofron porta

Dy minuta hetim ndajnë një palë IPsec nga një portal SSL. Ekzekutojini nga i njëjti rrjet që do të përdorë klienti dhe lexoni cilat porta përgjigjen, jo cilat shfaqen në një dokument. Ruajeni rezultatin, sepse pikërisht ato porta përcaktojnë cilin klient duhet të mbështesë pronari i portës. Hetoni nga rrjeti i klientit dhe jo nga një host pranë portës.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Një 443 e hapur me ridrejtim drejt një faqe hyrjeje dhe heshtje në 500 e 4500 tregon një SSL VPN. 500 dhe 4500 të hapura me një certifikatë të shërbyer në 443 sugjerojnë një portë IPsec që drejton edhe një pjesë të përparme web, dhe ky është rasti për të cilin u ndërtua vpnc.

SSL Network Extender i Check Point dhe klienti Aventail i Nortel të dy i përkasin kategorisë së dytë, dhe asnjëri nuk pranon një sekret grupi IKEv1.

Çfarë mund dhe çfarë nuk mund të shprehë profili i vpnc

Nën kapak vpnc ekzekuton IKEv1 kundër një çelësi grupi të ndarë paraprakisht, pastaj dërgon kredencialet e përdoruesit individual përmes XAuth. Gjithçka në skedarin e tij të konfigurimit i përket atij shkëmbimi: portë, emër grupi, sekret grupi, emër përdoruesi dhe fjalëkalim përdoruesi. Ato fusha përshkruajnë një protokoll të vetëm, dhe asnjë kombinim i tyre nuk mund ta detyrojë klientin të flasë një tjetër.

Prandaj zgjerimi i listës së shifrave ose çaktivizimi i kontrolleve të certifikatave nuk e rregullon kurrë këtë klasë dështimi. Këto ndryshime dobësojnë një negocim që porta nuk po e dëgjon.

Zgjedhja e klientit që përputhet me portën

Për një portë Check Point përdorni paketën SNX të ndërtuar për atë version të portës, të cilën furnizuesi e publikon së bashku me dokumentacionin e aksesit në distancë. Ndërtimet më të vjetra SNX shpesh dështojnë në shpërndarjet aktuale sepse presin biblioteka 32-bit që nuk janë më të instaluara, dhe rregullimi i një pakete të braktisur është zakonisht më keq sesa ekzekutimi i klientit të mbështetur në një platformë të mbështetur.

Klientët Aventail e humbën mbështetjen shumë kohë më parë. Aty ku një portë e tillë është ende në shërbim, zgjedhjet realiste janë portali i shfletuesit nëse organizata e aktivizon, ose klienti i mbështetur i furnizuesit në një sistem operativ të mbështetur.

Pyetni pronarin e portës për produktin dhe versionin, klientin që mbështetin në Linux dhe nëse ekziston fare një profil IPsec. Nëse ekziston, kërkoni identifikuesin e grupit dhe sekretin e grupit si zëra të veçantë, sepse nuk janë fjalëkalimi i përdoruesit dhe një çift i përzamë është shkaku tjetër i zakonshëm i një tuneli të dështuar. Kur një lidhje më në fund funksionon, shënoni cili protokoll u negociua, që personi tjetër të nisë nga një fakt në vend që të përsëritë të njëjtin supozim.