عميل Fortinet على لينكس: افحص البوابة قبل الإصلاح

يقول الدليل المؤرشف إن عليك تثبيت مكتبات 32 بت، وتعديل سمة GTK، وتشغيل المثبّت من الطرفية. بعض تلك النصائح كان صحيحًا لإصدار معيّن من العميل، ولا شيء منها يستطيع إعادة وضع نفق لم تعد البوابة تقدمه. قبل أن تغيّر أي حزمة، حدّد أول مرحلة فشلت. يبدأ هذا من البوابة نحو الداخل، لأن الإجابات هناك رخيصة ولأن الإصلاح المحلي الخاطئ هو ما يكلّف أكبر قدر من الوقت.

الفحص 1: سمِّ المرحلة التي فشلت

تفشل ثلاث مراحل بطرق مختلفة. إما ألا يبدأ البرنامج، أو يبدأ ويرفض هوية الخادم، أو يتصل ولا تقدّم البوابة خدمة من النوع الذي تحتاجه. كل فشل يترك دليله الخاص: خطأ في المحمّل، أو رسالة شهادة، أو رد من البوابة يذكر وضعًا غير متاح.

اكتب ذلك قبل أن تلمس أي شيء. كل ما يأتي بعد هذه النقطة يعتمد على المرحلة التي سمّيتها، والإصلاحات الثلاثة لا تشترك في شيء.

الفحص 2: إصدار البوابة ووضع النفق

وضع النفق لم يعد موجودًا على البوابات الحالية، وجدول تكامل FortiClient 7.4.4 مع لينكس هو المكان المكتوب فيه ذلك: FortiOS 7.6.3 وما بعده لم يعد يوفّر وضع نفق SSL VPN ويوجّه المسؤولين إلى IPsec بدلًا منه. أبقِ المنتج والإصدار والوضع مرتبطين بتلك الجملة عندما تكرّرها. لا يقول شيئًا عن كل منتجات Fortinet، ولا عن ميزات الوصول عبر الويب التي ما زالت موجودة. التوافق العام بين الإصدارات وتوفّر وضع نفق واحد فحصان منفصلان.

اسأل مالك البوابة سؤالين: أي إصدار تعمل به البوابة، وأي طرق وصول مفعّلة اليوم. اطلب الإجابة كتابةً، مع سلسلة الإصدار وصفحة الإعدادات أو سطر التكوين الذي جاءت منه، لأن التأكيد الشفهي هو ما يعيد الناس إلى الدليل المؤرشف. ثم افحص تلك الإجابة مقابل ملاحظات البوابة أو مصفوفة المورّد لذلك الإصدار بالتحديد. المتصفح الذي يعرض البوابة الإلكترونية يثبت أن البوابة تستجيب، ولا شيء أكثر.

الفحص 3: إصدار العميل الذي يوافق عليه المالك

احصل على إصدار عميل لينكس المعتمد ورقمه، ثم افحص نظام التشغيل والمعمارية وسطح المكتب ومسار المصادقة التي يدعمها. مصفوفة 7.4.4 مثال مرتبط بإصدار، وليست توصية بأحدث عميل وليست وعدًا لكل نسخة مشتقة. اسأل عن العميل الذي سيدعمه المالك فعلًا، لأن تلك الإجابة جزء من الهجرة وليست فكرة لاحقة. العميل الذي يموت قبل أن يصل حزمته الأولى إلى البوابة يثبت شيئًا عن الحاسوب المحمول، لا عن الخدمة.

مكتبات 32 بت وسمة معدّلة تغيّر ما يمكن للملف الثنائي تحميله؛ ولا تغيّر ما يدعمه المورّد. إذا كان نظام التشغيل أو مسار المصادقة خارج المصفوفة، فقد أُجيب سؤال الأهلية مسبقًا.

الفحص 4: اطلب ملف التعريف البديل

إذا انتقلت المؤسسة من وضع نفق SSL VPN إلى IPsec، فاطلب ملف التعريف الجديد وإجراء التسجيل في المحادثة نفسها. لا تعد تسمية تكوين SSL وتفترض أن الحقول تنتقل: ملف تعريف IPsec يسمّي إصدار IKE، وبوابة بعيدة وهويتها، وطريقة مصادقة، ومحدّدات المرور التي يقبلها كل طرف. وقد تُطبّق سياسة الحساب والجهاز بشكل مختلف أيضًا. إعادة التسمية تنتج عميلًا يبدو مهيّأً ولا يتفاوض على شيء.

اقرأ ملف التعريف قبل أن تثق به. يجب أن يذكر إصدار IKE ومقترحاته، وهل تستخدم المصادقة شهادة أم مفتاحًا مشتركًا مسبقًا، وأي الشبكات الفرعية المحلية والبعيدة مختارة، وما تتوقعه البوابة كهوية لها. أكّد أن عميل لينكس المعتمد يدعم هذا الترتيب، لأن وثيقة الهجرة ليست بيانًا بتكافؤ الميزات لكل إصدار عميل.العميل المستقل مثل openfortivpn ليس مفسّرًا لـ OpenVPN، لذا اعتبر أي شيء آخر يحمل SSL في اسمه غير معتمد حتى يقول المالك غير ذلك لهذا الوضع ومسار الدخول هذا وسياسة الأجهزة هذه.

الفحص 5: التبعيات المحلية، ثم التحقق والتسجيل

بعد أن يُحسم أمر البوابة والعميل، يصبح فشل التشغيل مشكلة تغليف، وتكون تعليمات الحزمة المدعومة نفسها هي المرجع الذي يُتّبع. فشل هوية TLS يخص المشغّل: جذور الثقة والاسم المتوقع هما تكوينه، وليس شيئًا يُلتف عليه محليًا. هاتان هما المرحلتان اللتان كان فيهما الدليل المؤرشف مفيدًا يومًا ما.

لا يُحل أي منهما بقبول شهادة غير معروفة أو بتعطيل فحص الحالة. أبقِ فحوص MFA والأجهزة في مكانها، لأن استعادة الاتصال بإضعافها تقايض انقطاعًا بحادث. إذا ذهب الوضع، فلا راية محلية تعيده.

بعد التغيير المعتمد، اصل إلى المورد الخاص المقصود، وتأكد من تحليل DNS، وأعد الاتصال مرة واحدة. سجّل العميل والمنصة وإصدار البوابة ووضع النفق معًا، لأن الشخص التالي يحتاج الأربعة. البرنامج الذي يفتح بنجاح يكون قد اجتاز مرحلة التشغيل المحلية، ولا شيء غير ذلك.