Check Point veya Nortel karşısında vpnc: neden takılıyor

Belirtiyi yanlış okumak kolaydır: vpnc başlar, grup parolasını sorar ve ardından hedeften yanıt gelmediğini bildirene kadar bir müzakere adımında bekler. Çıktıda hiçbir yerde ağ geçidinin ürünü anılmaz ve hesap tarayıcıdan çalışır, bu yüzden bariz sonuç yanlış parola veya engellenmiş bağlantı noktasıdır. Bu durumların çoğunda ağ geçidi hiç de bir IPsec eşi değildir, bu yüzden alışveriş kimlik bilgilerini sınamaya hiç ulaşmaz. Bu örüntüyü profilde başka bir şey değiştirmeden önce sınamaya değer.

Başka bir profil alanını düzenlemeden önce ürünü belirleyin.

Arıza yanlış kimlik bilgileri gibi görünüyor

vpnc, IKE'yi UDP 500'e göndererek başlar ve NAT geçişi sunuluyorsa UDP 4500'e de gönderir. IPsec yerine SSL'i sonlandıran bir ağ geçidi ikisine de yanıt vermez, bu yüzden istemci yeniden dener ve sonunda genel bir hatayla pes eder. Aynı hesap küçük bir yardımcı uygulama yükleyen bir tarayıcı portalı üzerinden çalışıyorsa, bu tünelin SSL tabanlı olduğuna ve istemcinin yanlış soruyu sorduğuna dair güçlü bir işarettir.

Buradaki başarısız deneme kullanıcı hesabı hakkında hiçbir şey söylemez, çünkü ağ geçidine hiçbir zaman kimlik bilgisi sunulmadı.

Ağ geçidinin hangi protokolü sunduğunu denetleyin

İki dakikalık sorgulama bir IPsec eşini SSL portalından ayırır. Bunları istemcinin kullanacağı ağdan çalıştırın ve bir belgede hangi bağlantı noktalarının yazdığını değil, hangilerinin yanıt verdiğini okuyun. Sonucu saklayın, çünkü aynı bağlantı noktaları ağ geçidi sahibinin hangi istemciyi desteklemesi gerektiğine karar verir. Ağ geçidinin yanındaki bir ana bilgisayardan değil, istemci ağından sorgulayın.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Giriş sayfasına yönlendirmeyle açık 443 ve 500 ile 4500'de sessizlik SSL VPN işaret eder. 443'te sunulan bir sertifikayla açık 500 ve 4500, web ön yüzünü de çalıştıran bir IPsec ağ geçidine işaret eder ve vpnc tam bu durum için geliştirilmiştir.

Check Point'in SSL Network Extender'ı ve Nortel'in Aventail istemcisi ikisi de ikinci kategoridedir ve hiçbiri IKEv1 grup sırrını kabul etmez.

vpnc profilinin ifade edebildiği ve edemediği şeyler

Kaputun altında vpnc, grubun önceden paylaşılan anahtarına karşı IKEv1 çalıştırır, ardından bireysel kullanıcının kimlik bilgilerini XAuth üzerinden gönderir. Yapılandırma dosyasındaki her şey bu alışverişe aittir: ağ geçidi, grup adı, grup sırrı, kullanıcı adı ve kullanıcı parolası. Bu alanlar tek bir protokolü tanımlar ve hiçbir bileşimi istemciyi başka bir protokol konuşmaya zorlayamaz.

Bu yüzden şifre listesini genişletmek veya sertifika denetimlerini kapatmak bu tür arızayı hiçbir zaman düzeltmez. Bu değişiklikler ağ geçidinin dinlemediği bir müzakeresini zayıflatır.

Ağ geçidine uyan istemciyi seçmek

Check Point ağ geçidi için o ağ geçidi sürümü için derlenmiş SNX paketini kullanın; üretici bunu uzaktan erişim belgeleriyle birlikte yayımlar. Eski SNX derlemeleri güncel dağıtımlarda sık sık başarısız olur çünkü artık kurulu olmayan 32-bit kitaplıklar bekler ve terk edilmiş bir paketi yamamak genellikle desteklenen istemciyi desteklenen bir platformda çalıştırmaktan daha kötüdür.

Aventail istemcileri desteği çok önce yitirdi. Böyle bir ağ geçidinin hâlâ hizmette olduğu yerlerde gerçekçi seçenekler, kuruluş etkinleştirirse tarayıcı portalı veya desteklenen işletim sisteminde üreticinin desteklediği istemcidir.

Ağ geçidinin sahibine ürünü ve sürümü, Linux'ta destekledikleri istemciyi ve bir IPsec profili olup olmadığını sorun. Varsa grup tanımlayıcısını ve grup sırrını ayrı kalemler olarak isteyin, çünkü bunlar kullanıcı parolası değildir ve karıştırılmış çift, başarısız bir tünelin diğer yaygın nedenidir. Bağlantı sonunda başarılı olduğunda hangi protokolün kararlaştırıldığını kaydedin, böylece bir sonraki kişi aynı tahmini yinelemek yerine bir olgudan başlar.