Кліент Fortinet для Linux: праверце шлюз перад рамонтам

Архіўны дапаможнік кажа ўсталяваць 32-бітныя бібліятэкі, выправіць тэму GTK і запусціць інсталятар з тэрмінала. Частка гэтай рады была правільнай для пэўнага выпуску кліента, і нішто з яе не верне рэжым тунеля, які шлюз больш не прапануе. Перш чым змяніць пакет, знайдзіце першы этап, які не спрацаваў. Гэта ідзе ад шлюза ўнутр, бо там адказы танныя і няправільнае лакальнае выпраўленне каштуе найбольш часу.

Праверка 1: назвіце этап, які не спрацаваў

Тры этапы правальваюцца па-рознаму. Праграма не запускаецца, запускаецца і адхіляе асабістасць сервера, або злучаецца, а ў шлюза няма паслугі патрэбнага вам тыпу. Кожны збой пакідае сваё сведчанне: памылка загрузчыка, паведамленне пра сертыфікат, адказ шлюза з назвай недаступнага рэжыму.

Запішыце гэта, перш чым нешта кранаць. Усё пасля гэтага пункта залежыць ад таго, які этап вы назвалі, і тры выпраўленні не маюць нічога агульнага.

Праверка 2: выпуск шлюза і рэжым тунеля

Рэжым тунеля знік на сучасных шлюзах, і табліца інтэграцыі FortiClient 7.4.4 для Linux — гэта месца, дзе гэта запісана: FortiOS 7.6.3 і пазней больш не прапануюць рэжым тунеля SSL VPN і накіроўваюць адміністратараў да IPsec. Трымайце прадукт, выпуск і рэжым прывязанымі да гэтага сказа, калі вы яго паўтараеце. Ён нічога не кажа пра кожны прадукт Fortinet і нічога пра функцыі вэб-доступу, якія ўсё яшчэ існуюць. Агульная сумяшчальнасць версій і даступнасць аднаго рэжыму тунеля — гэта асобныя праверкі.

Спытайце ўладальніка шлюза два пытанні: які выпуск працуе на шлюзе і якія метады доступу ўключаны сёння. Папрасіце адказ у пісьмовым выглядзе, з радком выпуску і старонкай налад або радком канфігурацыі, адкуль ён узяты, бо менавіта вуснае запэўненне вяртае людзей да архіўнага дапаможніка. Затым праверце гэты адказ па нататках да шлюза або матрыцы пастаўшчыка менавіта для гэтага выпуску. Браўзер, які паказвае вэб-партал, даказвае, што партал адказвае, і больш нічога.

Праверка 3: выпуск кліента, які ўхваляе ўладальнік

Атрымайце ўхвалены выпуск і версію кліента Linux, затым праверце аперацыйную сістэму, архітэктуру, працоўны стол і працэс аўтэнтыфікацыі, якія ён падтрымлівае. Матрыца 7.4.4 — гэта прывязаны да версіі прыклад, а не рэкамендацыя для найноўшага кліента і не абяцанне для кожнай вытворнай версіі. Спытайце, які кліент уладальнік фактычна будзе падтрымліваць, бо гэты адказ — частка міграцыі, а не позняя думка. Кліент, які памірае да таго, як яго першы пакет дасягне шлюза, даказвае нешта пра наўтбук, а не пра паслугу.

32-бітныя бібліятэкі і выпраўленая тэма змяняюць тое, што можа загрузіць бінарны файл; яны не змяняюць таго, што падтрымлівае пастаўшчык. Калі аперацыйная сістэма або працэс аўтэнтыфікацыі знаходзіцца па-за матрыцай, пытанне кваліфікацыі ўжо вырашана.

Праверка 4: запытайце профіль замены

Калі арганізацыя перайшла ад рэжыму тунеля SSL VPN да IPsec, запытайце новы профіль і працэдуру рэгістрацыі ў той жа размове. Не пераймяноўвайце канфігурацыю SSL і не мяркуйце, што палі перанясуцца: профіль IPsec называе версію IKE, аддалены шлюз і яго асабістасць, метад аўтэнтыфікацыі і селектары трафіку, якія прымае кожны бок. Палітыка ўліковых запісаў і прылад таксама можа прымяняцца інакш. Перайменаванне стварае кліент, які выглядае наладжаным і нічога не ўзгадняе.

Прачытайце профіль, перш чым давяраць яму. Ён павінен указаць версію IKE і прапановы, ці выкарыстоўвае аўтэнтыфікацыя сертыфікат або папярэдне агучаны ключ, якія лакальныя і аддаленыя падсеткі выбраны і што шлюз чакае ў якасці сваёй асабістасці. Пацвердзіце, што ўхвалены кліент Linux падтрымлівае такую схему, бо дакумент міграцыі не з’яўляецца заявай пра роўнасць функцый для кожнага выпуску кліента. Незалежны кліент, такі як openfortivpn, не з’яўляецца інтэрпрэтатарам OpenVPN, таму лічыце ўсё іншае са SSL у назве неўхваленым, пакуль уладальнік не скажа інакш для гэтага рэжыму, гэтага працэсу ўваходу і гэтай палітыкі прылад.

Праверка 5: лакальныя залежнасці, затым праверце і запішыце

Калі шлюз і кліент вызначаны, збой запуску — гэта праблема ўпакоўкі, і ўласныя інструкцыі пакета, які падтрымліваецца, з’яўляюцца ўзорам для выканання. Збой асабістасці TLS належыць аператару: давяральныя карані і чаканае імя — гэта яго канфігурацыя, а не тое, што можна абысці лакальна. Гэта два этапы, дзе архіўны дапаможнік калі-небудзь быў карысны.

Ні тое, ні другое не вырашаецца прыняццем невядомага сертыфіката або адключэннем праверкі стану. Трымайце праверкі MFA і прылад на месцы, бо аднаўленне злучэння праз іх аслабленне мяняе збой на інцыдэнт. Калі рэжым знік, ніякі лакальны флаг яго не верне.

Пасля ўхваленага змянення дасягніце патрэбнага прыватнага рэсурсу, пацвердзіце развязанне DNS і падключыцеся яшчэ раз. Запішыце кліент, платформу, выпуск шлюза і рэжым тунеля разам, бо наступнаму чалавеку патрэбныя ўсе чатыры. Праграма, якая паспяхова адкрываецца, прайшла лакальны этап запуску, і больш нічога.