vpnc dhidi ya Check Point au Nortel: kwa nini inakwama

Dalili ni rahisi kusoma vibaya: vpnc huanza, huuliza nenosiri la kikundi, kisha hukaa kwenye hatua ya majadiliano hadi ilpoke ripoti kwamba hakuna jibu kutoka kwa lengo. Hakuna chochote kwenye matokeo kinachotaja bidhaa ya lango, na akaunti inafanya kazi kutoka kwa kivinjari, kwa hivyo hitimisho dhahiri ni nenosiri lisilo sahihi au mlango uliozuiwa. Katika visa vingi vya hali hii lango si mwenzake wa IPsec hata kidogo, kwa hivyo mabadilishano hayafikii kamwe kufikia kipimo cha vitambulisho. Mtindo huo unafaa kujaribiwa kabla ya kubadilisha kitu kingine chochote kwenye wasifu.

Tambua bidhaa kabla ya kuhariri sehemu nyingine ya wasifu.

Kushindwa kunaonekana kama vitambulisho visivyo sahihi

vpnc huanza kwa kutuma IKE hadi UDP 500 na, ikiwa kuvuka NAT kunatolewa, hadi UDP 4500. Lango linalomaliza SSL badala ya IPsec halijibu yoyote kati ya hizo, kwa hivyo mteja hujaribu tena na mwishowe hukata tamaa kwa hitilafu ya jumla. Ikiwa akaunti hiyo hiyo inafanya kazi kupitia lango la kivinjari linalopakia programu ndogo ya msaada, hiyo ni dalili kali kwamba handaki linategemea SSL na mteja anauliza swali lisilo sahihi.

Jaribio lililoshindwa hapa halisemi chochote kuhusu akaunti ya mtumiaji, kwa sababu hakuna vitambulisho vilivyowasilishwa kwa lango.

Angalia ni itifaki gani lango hutoa

Dakika mbili za uchunguzi hutenganisha mwenzake wa IPsec na lango la SSL. Zifanye kutoka kwenye mtandao ambao mteja atatumia, na soma ni bandari gani zinajibu badala ya zile zilizoandikwa kwenye hati. Hifadhi matokeo, kwa sababu bandari hizo hizo huamua ni mteja gani mmiliki wa lango anapaswa kumuunga mkono. Chunguza kutoka mtandao wa mteja na si kutoka kwa mwenyeji karibu na lango.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

443 iliyo wazi na uelekezaji upya hadi ukurasa wa kuingia na ukimya kwenye 500 na 4500 zinaelekeza kwenye SSL VPN. 500 na 4500 zilizo wazi na cheti kinachotolewa kwenye 443 zinaonyesha lango la IPsec ambalo pia linaendesha mbele ya wavuti, na hiyo ndiyo hali ambayo vpnc ilijengwa kwa ajili yake.

SSL Network Extender ya Check Point na mteja wa Aventail wa Nortel wote wako katika kundi la pili, na hakuna anayekubali siri ya kikundi ya IKEv1.

Wasifu wa vpnc unaweza kueleza nini na hauwezi kueleza nini

Chini ya kifuniko vpnc huendesha IKEv1 dhidi ya ufunguo wa kikundi ulioshirikiwa mapema, kisha hutuma vitambulisho vya mtumiaji binafsi kupitia XAuth. Kila kitu kwenye faili yake ya usanidi ni cha mabadilishano hayo: lango, jina la kikundi, siri ya kikundi, jina la mtumiaji na nenosiri la mtumiaji. Sehemu hizo zinaeleza itifaki moja, na hakuna mchanganyiko wake unaoweza kumfanya mteja azungumze nyingine.

Ndiyo sababu kupanua orodha ya misimbo au kuzima ukaguzi wa vyeti hakuwezi kamwe kurekebisha aina hii ya kushindwa. Mabadiliko hayo hudhoofisha majadiliano ambayo lango halisikilizi.

Kuchagua mteja anayelingana na lango

Kwa lango la Check Point tumia kifurushi cha SNX kilichojengwa kwa toleo hilo la lango, ambacho muuzaji huchapisha pamoja na hati zake za ufikiaji wa mbali. Miundo ya zamani ya SNX mara nyingi hushindwa kwenye usambazaji wa sasa kwa sababu inatarajia maktaba za 32-bit ambazo hazijasakinishwa tena, na kiraka cha kifurushi kilichotelekezwa kwa kawaida ni mbaya zaidi kuliko kuendesha mteja anayeungwa mkono kwenye jukwaa linaloungwa mkono.

Wateja wa Aventail walipoteza msaada muda mrefu uliopita. Mahali ambapo lango kama hilo bado linatumika, chaguo za kweli ni lango la kivinjari ikiwa shirika litawezesha, au mteja anayeungwa mkono wa muuzaji kwenye mfumo wa uendeshaji unaoungwa mkono.

Muulize mmiliki wa lango kuhusu bidhaa na toleo, mteja wanaomuunga mkono kwenye Linux, na ikiwa wasifu wa IPsec upo kabisa. Ikiwa upo, omba kitambulisho cha kikundi na siri ya kikundi kama vitu viwili tofauti, kwa sababu hiyo si nenosiri la mtumiaji na jozi iliyobadilishwa ni sababu nyingine ya kawaida ya handaki lililoshindwa. Uhusiano unapofanikiwa hatimaye, andika ni itifaki gani ilijadiliwa ili mtu anayefuata aanze na ukweli badala ya kurudia dhana hiyo hiyo.