vpnc với Check Point hoặc Nortel: vì sao nó treo

Triệu chứng dễ bị đọc sai: vpnc khởi động, hỏi mật khẩu nhóm, rồi đứng ở một bước thương lượng cho tới khi báo không có phản hồi từ mục tiêu. Không có gì trong đầu ra nhắc tới sản phẩm của cổng, và tài khoản vẫn dùng được từ trình duyệt, nên kết luận hiển nhiên là sai mật khẩu hoặc bị chặn cổng. Trong phần lớn các trường hợp này, cổng hoàn toàn không phải một đối tác IPsec, nên quá trình trao đổi không bao giờ tới mức kiểm tra thông tin đăng nhập. Nên thử mẫu này trước khi thay đổi bất cứ điều gì khác trong hồ sơ.

Xác định sản phẩm trước khi sửa một trường khác của hồ sơ.

Sự cố trông như thông tin đăng nhập sai

vpnc bắt đầu bằng việc gửi IKE tới UDP 500 và, nếu có đề xuất xuyên NAT, tới UDP 4500. Cổng kết thúc SSL thay vì IPsec không trả lời cả hai, nên ứng dụng thử lại và cuối cùng bỏ cuộc với một lỗi chung. Nếu cùng tài khoản đó hoạt động qua cổng trình duyệt tải một ứng dụng trợ giúp nhỏ, đó là dấu hiệu mạnh cho thấy đường hầm dựa trên SSL và ứng dụng đang hỏi sai câu.

Một lần thử thất bại ở đây không nói gì về tài khoản người dùng, vì chưa từng có thông tin đăng nhập nào được trình ra cho cổng.

Kiểm tra cổng cung cấp giao thức nào

Hai phút thăm dò phân biệt một đối tác IPsec với một cổng SSL. Hãy chạy chúng từ cùng mạng mà ứng dụng sẽ dùng, và đọc xem cổng nào trả lời chứ không phải cổng nào được ghi trong tài liệu. Giữ lại kết quả, vì chính những cổng đó quyết định ứng dụng nào mà chủ cổng nên hỗ trợ. Thăm dò từ mạng của ứng dụng chứ không phải từ một máy bên cạnh cổng.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Cổng 443 mở kèm chuyển hướng tới trang đăng nhập và sự im lặng trên 500 và 4500 chỉ về một SSL VPN. Cổng 500 và 4500 mở kèm chứng chỉ được phục vụ trên 443 gợi ý một cổng IPsec cũng chạy giao diện web, và đó chính là trường hợp mà vpnc được tạo ra.

SSL Network Extender của Check Point và ứng dụng Aventail của Nortel đều thuộc nhóm thứ hai, và không bên nào chấp nhận bí mật nhóm IKEv1.

Hồ sơ vpnc có thể và không thể diễn đạt điều gì

Bên trong, vpnc chạy IKEv1 với khóa nhóm chia sẻ trước, rồi gửi thông tin đăng nhập của từng người dùng qua XAuth. Mọi thứ trong tệp cấu hình của nó đều thuộc về trao đổi đó: cổng, tên nhóm, bí mật nhóm, tên người dùng và mật khẩu người dùng. Những trường đó mô tả một giao thức duy nhất, và không tổ hợp nào của chúng có thể khiến ứng dụng nói giao thức khác.

Vì vậy mở rộng danh sách mã hóa hay tắt kiểm tra chứng chỉ không bao giờ khắc phục được loại sự cố này. Những thay đổi đó làm yếu đi cuộc thương lượng mà cổng không hề lắng nghe.

Chọn ứng dụng khớp với cổng

Với cổng Check Point, hãy dùng gói SNX được xây dựng cho bản phát hành cổng đó, gói này được nhà cung cấp công bố cùng tài liệu truy cập từ xa. Các bản SNX cũ thường thất bại trên các bản phân phối hiện tại vì chúng cần thư viện 32-bit không còn được cài đặt, và vá một gói đã bị bỏ rơi thường tệ hơn chạy ứng dụng được hỗ trợ trên nền tảng được hỗ trợ.

Ứng dụng Aventail đã mất hỗ trợ từ lâu. Ở nơi cổng như vậy vẫn còn hoạt động, lựa chọn thực tế là cổng trình duyệt nếu tổ chức bật nó, hoặc ứng dụng được nhà cung cấp hỗ trợ trên hệ điều hành được hỗ trợ.

Hỏi chủ cổng về sản phẩm và phiên bản, về ứng dụng họ hỗ trợ trên Linux, và liệu có hồ sơ IPsec nào không. Nếu có, hãy yêu cầu định danh nhóm và bí mật nhóm như hai mục riêng, vì chúng không phải mật khẩu người dùng và một cặp bị đổi chỗ là nguyên nhân phổ biến khác của đường hầm thất bại. Khi kết nối cuối cùng thành công, hãy ghi lại giao thức nào đã được thương lượng để người tiếp theo bắt đầu từ một sự thật thay vì lặp lại cùng một phỏng đoán.