vpnc lòdì sí Check Point tàbí Nortel: ìdí tí ó fi dókùn

Àmì náà ṣòro láti kà ní tọ́: vpnc bẹ̀rẹ̀, ó béèrè ọ̀rọ̀ ìkọ̀kọ̀ ẹgbẹ́, ó sì dúró ní ìgbésẹ̀ ìjíròrò títí yóò fi sọ pé kò sí ìdáhùn láti ibi àfojúsùn. Kò sí ibi kankan nínú àbájáde tí ó dárúkọ ẹ̀rọ ẹnubodè, àkọsílẹ̀ náà sì ń ṣiṣẹ́ láti ẹ̀rọ ìwò, nítorí náà ìparí tí ó hàn gbangba ni ọ̀rọ̀ ìkọ̀kọ̀ tí kò tọ́ tàbí ibùdókọ̀ tí a dí. Nínú ọ̀pọ̀ ìṣẹ̀lẹ̀ bẹ́ẹ̀, ẹnubodè kì í ṣe alábàákẹ́gbẹ́ IPsec rárá, nítorí náà ìpààrọ̀ kò dé ìdánwò ẹ̀rí. Ó yẹ kí a dán àwòrán yìí wò kí a tó yí ohunkóhun mìíràn padà nínú profáìlì.

Dà ẹ̀rọ náà mọ̀ kí o tó ṣàtúnṣe pápá mìíràn nínú profáìlì.

Ìkùnà náà dà bí ẹ̀rí tí kò tọ́

vpnc bẹ̀rẹ̀ nípa fífi IKE ránṣẹ́ sí UDP 500 àti, bí a bá pèsè ìrékọjá NAT, sí UDP 4500. Ẹnubodè tí ó parí SSL dípò IPsec kò dáhùn fún èyíkéyìí nínú àwọn méjèèjì, nítorí náà ẹ̀rọ náà tún gbìyànjú, nígbẹ̀yìn ó sì fi sílẹ̀ pẹ̀lú àṣìṣe gbogbogbò. Bí àkọsílẹ̀ kan náà bá ń ṣiṣẹ́ nípasẹ̀ ẹnubodè ìwò tí ń gbé ètò ìrànwọ́ kékeré, ìyẹn jẹ́ àmì tó lágbára pé ọ̀nà náà dá lórí SSL àti pé ẹ̀rọ náà ń béèrè ìbéèrè tí kò tọ́.

Ìgbìyànjú tí ó kùnà níbí kò sọ ohunkóhun nípa àkọsílẹ̀ olùṣàmúlò, nítorí pé a kò fi ẹ̀rí kankan hàn fún ẹnubodè.

Ṣàyẹ̀wò irú ìlànà tí ẹnubodè ń pèsè

Ìṣẹ́jú méjì ìwádìí ń ya alábàákẹ́gbẹ́ IPsec àti ẹnubodè SSL. Ṣe wọ́n láti inú nẹ́tíwọ́kì kan náà tí ẹ̀rọ náà yóò lò, kí o sì ka àwọn ibùdókọ̀ tí ó dáhùn, kì í ṣe àwọn tí ó wà nínú ìwé kan. Tọ́jú àbájáde náà, nítorí àwọn ibùdókọ̀ kan náà ni ó ń pinnu irú ẹ̀rọ tí olóhun ẹnubodè yẹ kí ó ṣètìlẹ́yìn fún. Ṣe ìwádìí láti nẹ́tíwọ́kì ẹ̀rọ, kì í ṣe láti ẹ̀rọ kọ̀ǹpútà tí ó wà lẹ́gbẹ̀ẹ́ ẹnubodè.

nc -zvu gw.example.com 500
nc -zvu gw.example.com 4500
nc -zvt gw.example.com 443
curl -sI https://gw.example.com/ | head -5
openssl s_client -connect gw.example.com:443 -servername gw.example.com </dev/null | head -20

Ibùdókọ̀ 443 tí ó ṣí pẹ̀lú ìtọ́nisọ́nà sí ojú-ìwé ìwọlé àti ìdákẹ́jẹ́ lórí 500 àti 4500 ń tọ́ka sí SSL VPN. Bí 500 àti 4500 bá ṣí pẹ̀lú ẹ̀rí tí a ń pèsè lórí 443, ìyẹn ń dábàá ẹnubodè IPsec tí ó tún ń darí ojú-ìwé wẹ́ẹ̀bù, ìyẹn sì ni ipò tí a kọ́ vpnc fún.

SSL Network Extender ti Check Point àti ẹ̀rọ Aventail ti Nortel jẹ́ ti ẹ̀ka kejì, kò sì sí ẹyọ tí ó gba àṣírí ẹgbẹ́ IKEv1.

Ohun tí profáìlì vpnc lè sọ àti ohun tí kò lè sọ

Nínú, vpnc ń ṣe IKEv1 pẹ̀lú kọ́kọ́rọ́ ẹgbẹ́ tí a ti pín tẹ́lẹ̀, lẹ́yìn náà ó fi ẹ̀rí olùṣàmúlò kọ̀ọ̀kan ránṣẹ́ nípasẹ̀ XAuth. Ohun gbogbo nínú fáìlì ìṣètò rẹ̀ jẹ́ ti ìpààrọ̀ yẹn: ẹnubodè, orúkọ ẹgbẹ́, àṣírí ẹgbẹ́, orúkọ olùṣàmúlò àti ọ̀rọ̀ ìkọ̀kọ̀ olùṣàmúlò. Àwọn pápá wọ̀nyí ń ṣàpèjúwe ìlànà kan, kò sì sí àkópọ̀ wọn tí ó lè mú ẹ̀rọ náà sọ òmíràn.

Ìdí ni pé fífi orúkọ àwọn kóòdù pọ̀ sí i tàbí fífi àyẹ̀wò ẹ̀rí kúrò kò tún irú ìkùnà yìí ṣe rárá. Àwọn ìyípadà yẹn ń sọ ìjíròrò tí ẹnubodè kò gbọ́ di aláìlágbára.

Yíyan ẹ̀rọ tí ó bá ẹnubodè mu

Fún ẹnubodè Check Point, lo àkópọ̀ SNX tí a kọ́ fún ìtúsílẹ̀ ẹnubodè yẹn, èyí tí olùpèsè ń tẹ̀ jáde pẹ̀lú àwọn ìwé ìráyè jíjìnnà. Àwọn ìkọ́lé SNX àtijọ́ máa ń kùnà lórí àwọn ìpínlẹ̀ ìsinsìnyí nítorí wọ́n ń retí àwọn ilé-ìkàwé 32-bit tí a kò tí ì fi sórí ẹ̀rọ mọ́, fífi àtúnṣe sí àkópọ̀ tí a ti gbàgbé sì máa ń burú ju fífi ẹ̀rọ tí a ṣètìlẹ́yìn fún ṣiṣẹ́ lórí pẹpẹ tí a ṣètìlẹ́yìn fún.

Àwọn ẹ̀rọ Aventail ti pàdánù ìtìlẹ́yìn tipẹ́tipẹ́. Níbi tí irú ẹnubodè bẹ́ẹ̀ ṣì ń ṣiṣẹ́, àwọn àṣàyàn gidi ni ẹnubodè ìwò bí àjọ bá tan ìmọ́lẹ̀ rẹ̀, tàbí ẹ̀rọ tí olùpèsè ṣètìlẹ́yìn fún lórí ètò ìṣiṣẹ́ tí a ṣètìlẹ́yìn fún.

Béèrè lọ́wọ́ olóhun ẹnubodè nípa ẹ̀rọ àti ẹ̀dà, ẹ̀rọ tí wọ́n ṣètìlẹ́yìn fún lórí Linux, àti bóyá profáìlì IPsec wà rárá. Bí ó bá wà, béèrè ìdánimọ̀ ẹgbẹ́ àti àṣírí ẹgbẹ́ gẹ́gẹ́ bí ohun méjì ọ̀tọ̀ọ̀tọ̀, nítorí wọn kì í ṣe ọ̀rọ̀ ìkọ̀kọ̀ olùṣàmúlò, àti pé pọ́ọ̀lì tí a pààrọ̀ jẹ́ ìdí mìíràn tí ó wọ́pọ̀ fún ọ̀nà tí ó kùnà. Nígbà tí ìsopọ̀ bá ṣàṣeyọrí nígbẹ̀yìn, kọ ìlànà tí a gbà sílẹ̀ kí ẹni tí ó kàn lè bẹ̀rẹ̀ láti inú òtítọ́ dípò kí ó tún àrékérekè kan náà ṣe.