Fortinet Linux-kliënt: kyk eers na die gateway voordat jy herstel

Die geargiveerde gids sê jy moet 32-bis biblioteke installeer, ’n GTK-tema opplas en die installeerder uit ’n terminaal laat loop. Sommige van daardie raad was korrek vir ’n spesifieke kliëntvrystelling, en niks daarvan kan ’n tonnelmodus terugbring wat die gateway nie meer bied nie. Voordat jy ’n pakket verander, vind die eerste stadium wat misluk het. Dit werk van die gateway na binne, want daar is die antwoorde goedkoop en ’n verkeerde plaaslike regstelling kos die meeste tyd.

Kontrole 1: benoem die stadium wat misluk het

Drie stadiums misluk op verskillende maniere. Die program begin nie, dit begin en verwerp die bediener se identiteit, of dit verbind en die gateway het geen diens van die soort wat jy nodig het nie. Elke mislukking laat sy eie bewys: ’n laaierfout, ’n sertifikaatboodskap, ’n gateway-antwoord wat ’n onbeskikbare modus noem.

Skryf dit neer voordat jy enigiets aanraak. Alles ná hierdie punt hang daarvan af watter stadium jy benoem het, en die drie regstellings het niks in gemeen nie.

Kontrole 2: die gateway-vrystelling en tonnelmodus

Tonnelmodus is weg op huidige gateways, en die FortiClient 7.4.4 Linux-integrasietabel is waar dit neergeskryf is: FortiOS 7.6.3 en later bied nie meer SSL VPN-tonnelmodus nie en stuur administrateurs eerder na IPsec. Hou die produk, die vrystelling en die modus aan daardie sin gekoppel wanneer jy dit herhaal. Dit sê niks oor elke Fortinet-produk nie, en niks oor webtoegang-kenmerke wat steeds bestaan nie. Algemene weergaweversoenbaarheid en die beskikbaarheid van een tonnelmodus is aparte kontroles.

Vra die gateway-eienaar twee vrae: watter vrystelling die gateway hardloop, en watter toegangsmetodes vandag geaktiveer is. Vra die antwoord skriftelik, met die vrystellingstring en die instellingsbladsy of konfigurasiereël waar dit vandaan kom, want ’n mondelinge versekering is wat mense terugstuur na die geargiveerde gids. Kontroleer dan daardie antwoord teen die gateway-notas of die verskaffersmatriks vir daardie presiese vrystelling. ’n Blaaier wat die webportaal weergee, bewys die portaal reageer, niks meer nie.

Kontrole 3: die kliëntuitgawe wat die eienaar goedkeur

Kry die goedgekeurde Linux-kliëntuitgawe en -weergawe, en kontroleer dan die bedryfstelsel, argitektuur, werkskerm en verifikasievloei wat dit ondersteun. Die 7.4.4-matriks is ’n weergawegebonde voorbeeld, nie ’n aanbeveling vir die nuutste kliënt nie en nie ’n belofte vir elke afgeleide nie. Vra watter kliënt die eienaar werklik sal ondersteun, want daardie antwoord is deel van die migrasie eerder as ’n nagedagte. ’n Kliënt wat sterf voordat sy eerste pakkie die gateway bereik, bewys iets oor die skootrekenaar, nie oor die diens nie.

32-bis biblioteke en ’n opgelapte tema verander wat die binêre lêer kan laai; dit verander nie wat die verskaffer ondersteun nie. As die bedryfstelsel of die verifikasievloei buite die matriks val, is die kwalifikasievraag reeds beantwoord.

Kontrole 4: vra die vervangingsprofiel aan

As die organisasie van SSL VPN-tonnelmodus na IPsec geskuif het, vra die nuwe profiel en die inskrywingsprosedure in dieselfde gesprek aan. Moenie ’n SSL-konfigurasie hernoem en aanvaar die velde dra oor nie: ’n IPsec-profiel noem ’n IKE-weergawe, ’n afgeleë gateway en sy identiteit, ’n verifikasiemetode en die verkeerskeuses wat elke kant aanvaar. Die rekening- en toestelbeleid kan ook anders toegepas word. ’n Hernoeming lewer ’n kliënt wat opgestel lyk en niks onderhandel nie.

Lees die profiel voordat jy dit vertrou. Dit moet die IKE-weergawe en voorstelle noem, of verifikasie ’n sertifikaat of ’n vooraf gedeelde sleutel gebruik, watter plaaslike en afgeleë subnetwerke gekies is, en wat die gateway as sy identiteit verwag. Bevestig dat die goedgekeurde Linux-kliënt daardie reëling ondersteun, want ’n migrasiedokument is nie ’n verklaring van kenmerkgelykheid vir elke kliëntvrystelling nie. ’n Onafhanklike kliënt soos openfortivpn is nie ’n OpenVPN-tolk nie, so behandel enigiets anders met SSL in sy naam as ongoedgekeur totdat die eienaar anders sê vir hierdie modus, hierdie aanmeldvloei en hierdie toestelbeleid.

Kontrole 5: plaaslike afhanklikhede, en valideer en teken dan aan

Met die gateway en die kliënt afgehandel, is ’n beginfout ’n verpakkingsprobleem, en die onderhoue pakket se eie instruksies is die verwysing om te volg. ’n TLS-identiteitsfout behoort aan die operateur: vertrouensankers en die verwagte naam is hulle konfigurasie, nie iets om plaaslik te omseil nie. Dit is die twee stadiums waar die geargiveerde gids ooit nuttig was.

Nie een word opgelos deur ’n onbekende sertifikaat te aanvaar of ’n houdingkontrole af te skakel nie. Hou die MFA- en toestelkontroles in plek, want om verbinding te herstel deur hulle te verswak ruil ’n onderbreking vir ’n voorval. As die modus weg is, bring geen plaaslike vlag dit terug nie.

Bereik ná die goedgekeurde verandering die beoogde private hulpbron, bevestig DNS-resolusie en verbind een keer weer. Teken die kliënt, platform, gateway-vrystelling en tonnelmodus saam aan, want die volgende persoon het al vier nodig. ’n Program wat suksesvol oopmaak, het die plaaslike beginstadium geslaag, en niks anders nie.