FortiGate-IPsec op Linux: watter kliënt maak werklik verbinding

Jou Windows-kollegas voer 'n FortiGate-towenaarsprofiel in en is binne 'n minuut aanlyn. Jy installeer dieselfde handelaarpakket op Ubuntu, soek na 'n IPsec-oortjie en kry 'n kliënt wat net weet hoe om 'n SSL VPN-portaal oop te maak. Die gevolgtrekking wat daarop volg is gewoonlik twee keer verkeerd: die gateway verwerp jou nie, en die Linux-bou is nie stukkend nie. Fortinet verskeep daardie kliënt slegs met SSL VPN-ondersteuning, so 'n mobiele IPsec-profiel het nêrens om te woon nie en moet herbou word êrens wat IKEv1 praat.

Daardie herbou is meganies sodra jy ophou om die handelaarskliënt as die verwysingsimplementering te beskou.

Eerstens: besluit watter protokol jy eintlik gekry het

FortiGate-toestelle publiseer beide SSL VPN en IPsec, en die oorhandigings-e-pos sê selde watter een jy gegun is. 'n Portaal-URL plus 'n blaaieragtige aanmeldbladsy beteken SSL VPN, en op Linux is die antwoord daar openfortivpn, nie die veldkartering hieronder nie. 'n Groepidentifiseerder plus 'n vooraf gedeelde sleutel beteken mobiele IPsec, wat vpnc en strongSwan hanteer.

Om dit verkeerd te kry, is die enkele mees algemene rede waarom 'n Linux-poging sterf voordat die eerste fase voltooi is: die kliënt bied IKEv1 aan 'n HTTPS-portaal of omgekeerd. Vra die administrateur skriftelik vir die protokolnaam voordat jy enigiets installeer.

Vier geloofsbriewe reis in vier verskillende velde

Die woord wagwoord verskyn twee keer in die meeste oorhandigings en beteken twee verskillende dinge. Die vooraf gedeelde sleutel verifieer die eweknie self, en dit is 'n masjiengeheim wat die administrateur uit die gateway-konfigurasie lees. Jou rekeningwagwoord is 'n aparte geloofsbrief wat bewys watter mens agter daardie eweknie sit.

Die ander twee waardes word makliker gemis. Die groepidentifiseerder is die string wat die towenaar in die IPsec-groepobjek geskryf het, en 0 is 'n wettige waarde eerder as 'n leë veld. Die voorstel dek enkripsie, hashing en 'n Diffie-Hellman-groep vir elke fase, plus die PFS-instelling, en elke item daarin moet met die gateway ooreenstem. Wanneer 'n verbinding by fase 1 misluk, is een van daardie vier byna altyd die skuldige, so skryf hulle afsonderlik neer eerder as om hulle in een dialoog te gooi.

Wat elke vpnc-veld moet bevat

Installeer die kliënt saam met die redigeerder-frontent, en skep dan 'n VPNC-verbinding:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Stel die gateway op die FortiGate se publieke adres, en stel die groepnaam presies op die identifiseerder van die gateway, insluitend 'n kaal nul. Groepwagwoord neem die vooraf gedeelde sleutel, terwyl gebruikersnaam en wagwoord jou rekening neem, met enige token bygevoeg soos die gateway verwag. In die gevorderde dialoog, kies die Diffie-Hellman-groep wat die voorstel noem, pas PFS by dieselfde groep aan, aktiveer NAT-traversering wanneer die kliënt agter 'n tuisroeteerder sit, en laat dooie eweknie-opsporing in pas met die gateway.

Die groepnaam is die veld wat oorgeslaan word, want dit lyk opsioneel en die verstekwaarde van nul lyk soos 'n plekhouer. Stuur dit leeg en die kliënt stuur 'n ander identifiseerder as die een wat die gateway valideer. As die profiel steeds misluk, vergelyk die gevorderde waardes met die werkende Windows-kliënt eerder as met 'n forumpos vir 'n ander werf.

Dieselfde profiel vir strongSwan geskryf

strongSwan is die beter langtermyn-houer vir hierdie waardes, aangesien die konfigurasie 'n tekslêer is wat jy kan nagaan en hou:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Lees die voorstelreëls voor die blok, want die nasleep-uitroepsteken verander hulle betekenis: dit pen daardie enkele voorstel vas en verwyder die alternatiewe wat die kliënt andersins sou bied. 'n Gateway wat vir een transformasiepaar gekonfigureer is, sal 'n kliënt verwerp wat met 'n lys begin, so die pen is wat 'n onderhandeling in 'n passing omskep. Neem die presiese algoritmename uit die werkende gateway-profiel, en vervang die plekhouers met jou eie waardes.

Die twee verifikasielyne is nie oorbodig nie. Die PSK bewys die eweknie, die XAuth-blok bewys die gebruiker, en om enigeen te laat val, laat 'n fase wat die gateway nie sal voltooi nie.

Lees die mislukking voordat jy nog 'n veld verander

Werk terug vanaf die simptoom eerder as om die dialoog weer te randomiseer. 'n IKE SA wat opkom met geen toegewysde adres nie, beteken die gebruiker-verifikasie-uitruiling het misluk of het nooit geloop nie, so kyk na die rekening en die tokenhantering. 'n Fase 1 wat nooit voltooi nie, wys na die voorstel, die groepidentifiseerder of aggressiewe modus, en elkeen daarvan word teen die gateway vergelyk, nie net teen die Windows-kliënt nie.

'n Tonnel wat vestig en dan elke paar minute sterf, is 'n meningsverskil oor dooie eweknie-opsporing tussen die twee kante; pas die gateway-tydhouer eerder as om keepalives oral af te skakel. 'n Gevestigde tonnel waar kantoorhosts onbereikbaar bly, beteken gewoonlik die gestuurde subnet het nooit in die plaaslike roeteringstabel beland nie, wat 'n derdeparty-kliënt dalk nie op sy eie doen nie.

Gee die werkende waardes terug aan die gateway-eienaar wanneer jy klaar is: protokol, groepidentifiseerder, vooraf gedeelde sleutel, voorstel, PFS en die DPD-besluit. Die volgende Linux-masjien neem dan minute in plaas van 'n aand, en niemand hoef weer te ontdek dat die groepnaam nul was nie.