vpnc против Check Point-а или Nortel-а: зашто се заглави

Симптом је лако погрешно прочитати: vpnc се покреће, тражи групну лозинку, а затим остаје на кораку преговора док не пријави да нема одговора од циља. У излазу се нигде не помиње производ гејтвеја, а налог ради из прегледача, па је очигледан закључак погрешна лозинка или блокиран порт. У већини ових случајева гејтвеј уопште није IPsec партнер, па размена никада не стигне до провере акредитива. Тај образац вреди проверити пре него што се било шта друго промени у профилу.

Утврдите производ пре него што уредите друго поље профила.

Неуспех изгледа као погрешни акредитиви

vpnc почиње слањем IKE-а на UDP 500 и, ако се нуди пролазак кроз NAT, на UDP 4500. Гејтвеј који завршава SSL уместо IPsec не одговара ни на један, па клијент понавља покушај и на крају одустаје са општом грешком. Ако исти налог ради преко портала у прегледачу који учитава малу помоћну апликацију, то је снажан знак да се тунел заснива на SSL-у и да клијент поставља погрешно питање.

Неуспешан покушај овде ништа не говори о корисничком налогу, јер гејтвеју никада нису представљени акредитиви.

Проверите који протокол гејтвеј нуди

Два минута провере одвајају IPsec партнера од SSL портала. Покрените их са исте мреже коју ће клијент користити и читајте који портови одговарају, а не који су наведени у документу. Сачувајте резултат, јер управо ти портови одређују који клијент власник гејтвеја треба да подржава. Проверавајте са клијентске мреже, а не са хоста поред гејтвеја.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Отворен 443 са преусмерењем на страницу за пријаву и тишина на 500 и 4500 указују на SSL VPN. Отворени 500 и 4500 са сертификатом који се служи на 443 упућују на IPsec гејтвеј који такође води веб-интерфејс, а то је случај за који је vpnc направљен.

SSL Network Extender компаније Check Point и Aventail клијент компаније Nortel оба припадају другој категорији и ниједан не прихвата групну тајну IKEv1.

Шта vpnc профил може, а шта не може да изрази

Испод хаубе vpnc извршава IKEv1 према групном унапред дељеном кључу, а затим шаље акредитиве појединачног корисника кроз XAuth. Све у његовој конфигурационој датотеци припада тој размени: гејтвеј, назив групе, групна тајна, корисничко име и корисничка лозинка. Та поља описују један протокол и никаква њихова комбинација не може натерати клијент да говори други.

Зато проширење листе шифара или искључивање провера сертификата никада не поправља ову врсту неуспеха. Те промене слабе преговоре које гејтвеј не слуша.

Избор клијента који одговара гејтвеју

За Check Point гејтвеј користите SNX пакет направљен за то издање гејтвеја, који добављач објављује заједно са документацијом за даљински приступ. Старије SNX градње често падају на актуелним дистрибуцијама јер очекују 32-bit библиотеке које више нису инсталиране, а крпљење напуштеног пакета обично је горе од покретања подржаног клијента на подржаној платформи.

Aventail клијенти су одавно изгубили подршку. Тамо где такав гејтвеј још ради, реалне су опције портал у прегледачу ако га организација омогући, или добављачев подржани клијент на подржаном оперативном систему.

Питајте власника гејтвеја за производ и верзију, клијент који подржавају на Linux-у и да ли уопште постоји IPsec профил. Ако постоји, затражите групни идентификатор и групну тајну као одвојене ставке, јер то није корисничка лозинка, а замењен пар је други чест узрок неуспешног тунела. Када веза коначно успе, запишите који је протокол уговорен, да следећа особа почне од чињенице уместо да понавља исту претпоставку.