vpnc กับ Check Point หรือ Nortel: ทำไมจึงค้าง

อาการนี้อ่านผิดได้ง่าย เพราะ vpnc เริ่มทำงาน ถามหารหัสผ่านของกลุ่ม แล้วหยุดอยู่ที่ขั้นตอนการเจรจาจนรายงานว่าไม่มีการตอบกลับจากเป้าหมาย ไม่มีข้อความใดในผลลัพธ์ที่บอกว่าอุปกรณ์ปลายทางเป็นผลิตภัณฑ์อะไร และบัญชีก็ใช้งานได้จากเบราว์เซอร์ ข้อสรุปที่ดูเหมือนชัดเจนจึงเป็นรหัสผ่านผิดหรือพอร์ตถูกบล็อก ในกรณีส่วนใหญ่เกตเวย์ไม่ได้เป็นคู่ IPsec เลย การแลกเปลี่ยนจึงไม่เคยไปถึงจุดที่ทดสอบข้อมูลรับรองได้ ควรทดสอบรูปแบบนี้ก่อนจะแก้อะไรอื่นในโปรไฟล์

ระบุผลิตภัณฑ์ก่อนแก้ไขฟิลด์อื่นในโปรไฟล์

ความล้มเหลวดูเหมือนข้อมูลรับรองผิด

vpnc เริ่มด้วยการส่ง IKE ไปยัง UDP 500 และถ้ามีการเสนอการผ่าน NAT ก็ส่งไปยัง UDP 4500 เกตเวย์ที่ปิด SSL แทน IPsec จะไม่ตอบทั้งสองอย่าง ไคลเอนต์จึงลองใหม่และในที่สุดก็ยอมแพ้ด้วยข้อผิดพลาดทั่วไป หากบัญชีเดียวกันใช้งานได้ผ่านพอร์ทัลเบราว์เซอร์ที่โหลดแอปช่วยขนาดเล็ก นั่นเป็นสัญญาณชัดว่าอุโมงค์อิงกับ SSL และไคลเอนต์กำลังถามผิดคำถาม

ความพยายามที่ล้มเหลวตรงนี้ไม่ได้บอกอะไรเกี่ยวกับบัญชีผู้ใช้ เพราะไม่มีการส่งข้อมูลรับรองให้เกตเวย์เลย

ตรวจสอบว่าเกตเวย์เสนอโปรโตคอลใด

การตรวจสอบสองนาทีแยกคู่ IPsec ออกจากพอร์ทัล SSL ได้ ควรรันจากเครือข่ายเดียวกับที่ไคลเอนต์จะใช้ และอ่านว่าพอร์ตใดตอบกลับ ไม่ใช่อ่านว่าพอร์ตใดปรากฏในเอกสาร เก็บผลลัพธ์ไว้ เพราะพอร์ตเดียวกันนั้นเป็นตัวกำหนดว่าเจ้าของเกตเวย์ควรสนับสนุนไคลเอนต์ตัวใด ควรตรวจจากเครือข่ายของไคลเอนต์ ไม่ใช่จากโฮสต์ข้างเกตเวย์

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

พอร์ต 443 ที่เปิดอยู่พร้อมการเปลี่ยนเส้นทางไปหน้าล็อกอิน และความเงียบบน 500 กับ 4500 ชี้ไปที่ SSL VPN ส่วน 500 กับ 4500 ที่เปิดพร้อมใบรับรองที่ให้บริการบน 443 บ่งชี้เกตเวย์ IPsec ที่รันหน้าเว็บด้วย ซึ่งเป็นกรณีที่ vpnc ถูกสร้างขึ้นมา

SSL Network Extender ของ Check Point และไคลเอนต์ Aventail ของ Nortel อยู่ในหมวดที่สองทั้งคู่ และทั้งสองไม่รับความลับกลุ่มแบบ IKEv1

โปรไฟล์ vpnc บอกอะไรได้และบอกอะไรไม่ได้

ภายใน vpnc รัน IKEv1 กับคีย์กลุ่มที่แชร์ไว้ล่วงหน้า แล้วส่งข้อมูลรับรองของผู้ใช้แต่ละคนผ่าน XAuth ทุกอย่างในไฟล์กำหนดค่าของมันเป็นของการแลกเปลี่ยนนั้น ทั้งเกตเวย์ ชื่อกลุ่ม ความลับกลุ่ม ชื่อผู้ใช้ และรหัสผ่านผู้ใช้ ฟิลด์เหล่านี้บรรยายโปรโตคอลเดียว และไม่มีชุดค่าใดผสมกันแล้วทำให้ไคลเอนต์พูดโปรโตคอลอื่นได้

นี่คือเหตุผลที่การขยายรายการรหัสลับหรือปิดการตรวจสอบใบรับรองไม่เคยแก้ความล้มเหลวประเภทนี้ การเปลี่ยนแปลงเหล่านั้นทำให้การเจรจาที่เกตเวย์ไม่ได้รอฟังอ่อนแอลง

การเลือกไคลเอนต์ให้ตรงกับเกตเวย์

สำหรับเกตเวย์ Check Point ให้ใช้ แพ็กเกจ SNX ที่สร้างสำหรับรีลีสของเกตเวย์นั้น ซึ่งผู้จำหน่ายเผยแพร่พร้อมเอกสารการเข้าถึงระยะไกล บิลด์ SNX เก่ามักล้มเหลวบนดิสทริบิวชันปัจจุบัน เพราะคาดหวังไลบรารี 32-bit ที่ไม่ได้ติดตั้งแล้ว และการแพตช์แพ็กเกจที่ถูกทิ้งมักแย่กว่าการรันไคลเอนต์ที่ได้รับการสนับสนุนบนแพลตฟอร์มที่ได้รับการสนับสนุน

ไคลเอนต์ Aventail หมดการสนับสนุนมานานแล้ว ในที่ที่เกตเวย์แบบนี้ยังใช้งานอยู่ ทางเลือกที่เป็นจริงคือพอร์ทัลเบราว์เซอร์หากองค์กรเปิดใช้ หรือไคลเอนต์ที่ผู้จำหน่ายสนับสนุนบนระบบปฏิบัติการที่สนับสนุน

ถามเจ้าของเกตเวย์เกี่ยวกับผลิตภัณฑ์และเวอร์ชัน ไคลเอนต์ที่พวกเขาสนับสนุนบน Linux และมีโปรไฟล์ IPsec หรือไม่ ถ้ามี ให้ขอตัวระบุกลุ่มและความลับกลุ่มเป็นสองรายการแยกกัน เพราะสิ่งเหล่านั้นไม่ใช่รหัสผ่านผู้ใช้ และคู่ที่สลับกันเป็นอีกสาเหตุทั่วไปของอุโมงค์ที่ล้มเหลว เมื่อการเชื่อมต่อสำเร็จในที่สุด ให้บันทึกว่าโปรโตคอลใดถูกเจรจา เพื่อให้คนถัดไปเริ่มจากข้อเท็จจริงแทนการเดาซ้ำเดิม