vpnc Check Point yoki Nortel qarshisida: nima uchun osilib qoladi
vpnc faqat XAuth bilan IKEv1 gapiradi. Check Point SNX yoki Nortel Aventail shlyuzi hech qachon hisob ma'lumotlari bosqichiga yetmaydi, shuning uchun avval mahsulotni aniqlang.
Alomatni noto'g'ri o'qish oson: vpnc ishga tushadi, guruh parolini so'raydi, so'ngra nishondan javob yo'qligini bildirmaguncha muzokara bosqichida turadi. Chiqishda shlyuz mahsuloti hech qayerda tilga olinmaydi, hisob esa brauzerdan ishlaydi, shuning uchun ko'rinib turgan xulosa noto'g'ri parol yoki bloklangan portdir. Bunday holatlarning ko'pchiligida shlyuz umuman IPsec sherigi emas, shuning uchun almashinuv hech qachon hisob ma'lumotlarini sinashga yetmaydi. Bu naqshni profilda boshqa narsani o'zgartirishdan oldin sinab ko'rish kerak.
Profilning boshqa maydonini tahrirlashdan oldin mahsulotni aniqlang.
Muvaffaqiyatsizlik noto'g'ri hisob ma'lumotlariga o'xshaydi
vpnc IKE ni UDP 500 ga yuborishdan boshlaydi va agar NAT dan o'tish taklif qilinsa, UDP 4500 ga ham. IPsec o'rniga SSL ni tugatadigan shlyuz ikkalasiga ham javob bermaydi, shuning uchun mijoz qayta urinadi va oxir-oqibat umumiy xato bilan taslim bo'ladi. Xuddi shu hisob kichik yordamchi dasturni yuklaydigan brauzer portali orqali ishlasa, bu tunnel SSL ga asoslanganligi va mijoz noto'g'ri savol berayotganining kuchli belgisidir.
Bu yerdagi muvaffaqiyatsiz urinish foydalanuvchi hisobi haqida hech narsa demaydi, chunki shlyuzga hech qachon hisob ma'lumotlari taqdim etilmagan.
Shlyuz qaysi protokolni taklif qilishini tekshiring
Ikki daqiqalik tekshiruv IPsec sherigini SSL portalidan ajratadi. Ularni mijoz ishlatadigan tarmoqdan ishga tushiring va hujjatda qaysi portlar yozilganini emas, qaysi portlar javob berishini o'qing. Natijani saqlang, chunki aynan o'sha portlar shlyuz egasi qaysi mijozni qo'llab-quvvatlashi kerakligini belgilaydi. Shlyuz yonidagi xostdan emas, mijoz tarmog'idan tekshiring.
nc -zvu gw.example.com 500 nc -zvu gw.example.com 4500 nc -zvt gw.example.com 443 curl -sI https://gw.example.com/ | head -5 openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20
Kirish sahifasiga yo'naltirish bilan ochiq 443 va 500 hamda 4500 da sukunat SSL VPN ga ishora qiladi. 443 da taqdim etilgan sertifikat bilan ochiq 500 va 4500 veb-interfeysni ham ishlatadigan IPsec shlyuzini ko'rsatadi, va vpnc aynan shu holat uchun yaratilgan.
Check Point ning SSL Network Extender va Nortel ning Aventail mijozi ikkalasi ham ikkinchi toifaga kiradi va hech biri IKEv1 guruh sirrini qabul qilmaydi.
vpnc profili nimani ifodalay oladi va nimani yo'q
Ichkarida vpnc guruhning oldindan bo'lishilgan kalitiga qarshi IKEv1 ishlatadi, so'ngra alohida foydalanuvchining hisob ma'lumotlarini XAuth orqali yuboradi. Uning konfiguratsiya faylidagi hamma narsa o'sha almashinuvga tegishli: shlyuz, guruh nomi, guruh siri, foydalanuvchi nomi va foydalanuvchi paroli. Bu maydonlar bitta protokolni tavsiflaydi va ularning hech qanday birikmasi mijozni boshqasida gapirishga majbur qila olmaydi.
Shu sababli shifrlar ro'yxatini kengaytirish yoki sertifikat tekshiruvlarini o'chirish bu turdagi nosozlikni hech qachon tuzatmaydi. Bu o'zgarishlar shlyuz tinglamayotgan muzokarani zaiflashtiradi.
Shlyuzga mos mijozni tanlash
Check Point shlyuzi uchun o'sha shlyuz nashri uchun qurilgan SNX paketidan foydalaning, uni yetkazib beruvchi masofaviy kirish hujjatlari bilan birga e'lon qiladi. Eski SNX buildlari joriy distributivlarda tez-tez muvaffaqiyatsiz bo'ladi, chunki endi o'rnatilmagan 32-bit kutubxonalarni kutadi, tashlandiq paketni yamash esa odatda qo'llab-quvvatlanadigan platformada qo'llab-quvvatlanadigan mijozni ishga tushirishdan yomonroq.
Aventail mijozlari qo'llab-quvvatlashni ancha oldin yo'qotgan. Bunday shlyuz hali ham xizmatda bo'lgan joylarda real variantlar tashkilot yoqsa brauzer portali, yoki qo'llab-quvvatlanadigan operatsion tizimda yetkazib beruvchining qo'llab-quvvatlanadigan mijozidir.
Shlyuz egasidan mahsulot va versiyani, Linux da ular qo'llab-quvvatlaydigan mijozni va umuman IPsec profili bor-yo'qligini so'rang. Bo'lsa, guruh identifikatori va guruh sirini alohida ikki narsa sifatida so'rang, chunki ular foydalanuvchi paroli emas va almashtirib yuborilgan juftlik muvaffaqiyatsiz tunnelning yana bir keng tarqalgan sababidir. Ulanish nihoyat muvaffaqiyatli bo'lsa, qaysi protokol kelishilganini yozib qo'ying, keyingi odam o'sha taxminni takrorlamasdan faktdan boshlashi uchun.