Linux-da FortiGate IPsec: hansı klient həqiqətən qoşulur

Windows-dakı həmkarınız FortiGate sehrbaz profilini idxal edir və bir dəqiqədə onlayn olur. Siz eyni vendor paketini Ubuntu-ya quraşdırır, IPsec nişanı axtarır və yalnız SSL VPN portalını açmağı bilən bir klient tapırsınız. Bundan çıxan nəticə adətən iki cəhətdən yanlış olur: şlüz sizi rədd etmir, Linux qurğusu da pozulmayıb. Fortinet o klienti yalnız SSL VPN dəstəyi ilə göndərir, buna görə mobil IPsec profili üçün yer yoxdur və IKEv1 danışan bir yerdə yenidən qurulmalıdır.

Vendor klientini istinad implementasiyası kimi görməyi dayandırdıqdan sonra bu yenidənqurma mexaniki işdir.

Əvvəlcə hansı protokolun sizə verildiyini müyəyyənləşdirin

FortiGate cihazları həm SSL VPN, həm də IPsec yayımlayır və təhvil e-poçtu sizə hansının verildiyini nadir hallarda deyir. Portal URL-i üstəgəl brauzer üslubunda giriş səhifəsi SSL VPN deməkdir və Linux-da orada cavab openfortivpn-dir, aşağıdakı sahə xəritəsi deyil. Qrup identifikatoru üstəgəl əvvəlcədən paylaşılmış açar mobil IPsec deməkdir və bununla vpnc ilə strongSwan məşğul olur.

Bunu səhv etmək Linux cəhdinin birinci faza tamamlanmadan ölməsinin ən çox yayılmış səbəbidir: klient HTTPS portalına IKEv1 təklif edir və ya əksinə. Heç nə quraşdırmadan əvvəl administratordan protokolun adını yazılı şəkildə soruşun.

Dörd etimadnamə dörd fərqli sahədə səyahət edir

Password sözü əksər təhvillərdə iki dəfə görünür və iki fərqli şey deməkdir. Əvvəlcədən paylaşılmış açar peer-in özünü doğrulaşdırır və bu, administratorun şlüz konfiqurasiyasından oxuduğu maşın sirridir. Hesab şifrəniz isə həmin peer-in arxasında hansı insanın durduğunu sübut edən ayrı bir etimadnamədir.

Digər iki dəyəri qaçırmaq daha asandır. Qrup identifikatoru sehrbazın IPsec qrup obyektinə yazdığı sətirdir və 0 boş sahə deyil, qanuni bir dəyərdir. Təklif hər faza üçün şifrələmə, heşləmə və Diffie-Hellman qrupunu, üstəgəl PFS parametrini əhatə edir və içindəki hər element şlüzlə uyğun olmalıdır. Bağlantı 1-ci fazada uğursuz olduqda, demək olar ki, həmişə o dördündən biri günahkardır, ona görə onları bir dialoq qutusuna atmaq əvəzinə ayrı-ayrı yazın.

Hər vpnc sahəsinin nə daşımalı olduğu

Klienti redaktor ön hissəsi ilə birlikdə quraşdırın, sonra VPNC bağlantısı yaradın:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Şlüzü FortiGate-in ictimai ünvanına qoyun və qrup adını şlüzdəki identifikatora tam uyğun qoyun, çılpaq sıfır daxil olmaqla. Group password sahəsi əvvəlcədən paylaşılmış açarı alır, istifadəçi adı və şifrə isə hesabınızı alır, hər hansı token şlüzün gözlədiyi kimi əlavə olunur. Qabaqcıl dialoqda təklifin adlandırdığı Diffie-Hellman qrupunu seçin, PFS-i həmin qrupla uyğunlaşdırın, klient ev marşrutlaşdırıcısının arxasındadırsa NAT keçidini aktivləşdirin və ölü peer aşkarlamasını şlüzlə eyni addımda saxlayın.

Qrup adı atlanan sahədir, çünki o, isteğe bağlı görünür və sıfır standart dəyəri yer tutucuya bənzəyir. Onu boş göndərsəniz, klient şlüzün yoxladığı identifikatordan fərqli bir identifikator ötürür. Profil hələ də uğursuz olarsa, qabaqcıl dəyərləri başqa bir sayt üçün forum yazısı ilə deyil, işləyən Windows klienti ilə müqayisə edin.

Eyni profil strongSwan üçün yazılmış

strongSwan bu dəyərlər üçün daha yaxşı uzunmüddətli qabdır, çünki konfiqurasiya nəzərdən keçirə və saxlaya biləcəyiniz mətn faylıdır:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Blokdan əvvəl təklif sətirlərini oxuyun, çünki sondakı nida işarəsi onların mənasını dəyişir: o, həmin tək təklifi bərkidir və klientin əks halda təklif edəcəyi alternativləri silir. Bir transformasiya cütü üçün konfiqurasiya edilmiş şlüz, siyahı ilə açılan klienti rədd edəcək, buna görə bərkitmə danışıqları uyğunluğa çevirən şeydir. Dəqiq alqoritm adlarını işləyən şlüz profilindən götürün və yer tutucuları öz dəyərlərinizlə əvəz edin.

İki autentifikasiya sətri artıq deyil. PSK peer-i, XAuth bloku istifadəçini sübut edir və hər hansı birini atmaq şlüzün bitirməyəcəyi bir faza qoyur.

Başqa sahəni dəyişməzdən əvvəl uğursuzluğu oxuyun

Dialoqu yenidən təsadüfiləşdirmək əvəzinə simptomdan geriyə doğru işləyin. Təyin edilmiş ünvan olmadan qalxan IKE SA istifadəçi autentifikasiyası mübadiləsinin uğursuz olduğunu və ya heç işləmədiyini bildirir, ona görə hesabı və token emalını yoxlayın. Heç tamamlanmayan 1-ci faza təklifə, qrup identifikatoruna və ya aqressiv rejimə işarə edir və bunların hər biri yalnız Windows klienti ilə deyil, şlüzlə müqayisə olunur.

Qurulan və sonra hər neçə dəqiqədə ölən tunel iki uc arasında ölü peer aşkarlaması ilə bağlı fikir ayrılığıdır; keepalive-ları hər yerdə söndürmək əvəzinə şlüz taymerini uyğunlaşdırın. Ofis hostlarının əlçatmaz qaldığı qurulmuş tunel adətən itələnmiş alt şəbəkənin yerli marşrutlaşdırma cədvəlinə heç vaxt düşmədiyini bildirir və üçüncü tərəf klienti bunu özü etməyə bilər.

Bitirdikdə işləyən dəyərləri şlüz sahibinə qaytarın: protokol, qrup identifikatoru, əvvəlcədən paylaşılmış açar, təklif, PFS və DPD qərarı. Sonra növbəti Linux maşını bir axşam əvəzinə bir neçə dəqiqə çəkir və heç kəs qrup adının sıfır olduğunu yenidən kəşf etmək məcburiyyətində qalmır.