IPsec de FortiGate a Linux: quin client es connecta de debò

El teu company de Windows importa un perfil de l'assistent de FortiGate i en un minut ja és en línia. Tu instal·les el mateix paquet del proveïdor a Ubuntu, busques una pestanya IPsec i trobes un client que només sap obrir SSL VPN un portal. La conclusió que en surt sol ser doblement errònia: la passarel·la no et rebutja i la compilació de Linux no està trencada. Fortinet distribueix aquest client només amb suport d'SSL VPN, així que un perfil IPsec mòbil no té on viure i s'ha de reconstruir en un lloc que parli IKEv1.

Primer, decideix quin protocol t'han donat realment

Aquesta reconstrucció és mecànica un cop deixes de tractar el client del proveïdor com la implementació de referència.

Els dispositius FortiGate publiquen tant SSL VPN com IPsec, i el correu de traspàs poques vegades diu quin t'han concedit. Una URL de portal més una pàgina d'inici de sessió d'estil navegador vol dir SSL VPN, i a Linux la resposta allà és openfortivpn, no el mapatge de camps de sota. Un identificador de grup més una clau prèviament compartida vol dir IPsec mòbil, que és el que gestionen vpnc i strongSwan.

Equivocar-te en això és la raó més habitual que un intent a Linux mori abans que la primera fase es completi: el client ofereix IKEv1 a un portal HTTPS o al revés. Demana a l'administrador el nom del protocol per escrit abans d'instal·lar res.

Quatre credencials viatgen en quatre camps diferents

La paraula password apareix dues vegades en la majoria de traspàs i significa dues coses diferents. La clau prèviament compartida autentica el peer mateix, i és un secret de màquina que l'administrador llegeix de la configuració de la passarel·la. La contrasenya del teu compte és una credencial separada que demostra quina persona hi ha darrere d'aquell peer.

Els altres dos valors són més fàcils de passar per alt. L'identificador de grup és la cadena que l'assistent va escriure a l'objecte de grup IPsec, i 0 és un valor legítim i no un camp buit. La proposta cobreix xifratge, hash i un grup Diffie-Hellman per a cada fase, més el paràmetre PFS, i cada element hi ha de coincidir amb la passarel·la. Quan una connexió falla a la fase 1, gairebé sempre el culpable és un d'aquests quatre, així que apunta'ls per separat en lloc d'abocar-los en un sol diàleg.

Què ha de contenir cada camp de vpnc

Instal·la el client juntament amb l'editor, i després crea una connexió VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Posa la passarel·la a l'adreça pública del FortiGate, i el nom del grup exactament a l'identificador de la passarel·la, inclòs un zero sol. Group password pren la clau prèviament compartida, mentre que el nom d'usuari i la contrasenya prenen el teu compte, amb qualsevol testimoni afegit com la passarel·la espera. Al diàleg avançat, tria el grup Diffie-Hellman que anomena la proposta, fes coincidir PFS amb el mateix grup, activa el traversal NAT quan el client és darrere d'un router domèstic i deixa la detecció de peer mort al mateix pas que la passarel·la.

El nom del grup és el camp que es descuida, perquè sembla opcional i el valor per defecte zero sembla un marcador. Envia'l en blanc i el client transmet un identificador diferent del que valida la passarel·la. Si el perfil encara falla, compara els valors avançats amb el client de Windows que funciona i no amb un missatge de fòrum d'un altre lloc.

El mateix perfil escrit per a strongSwan

strongSwan és el millor contenidor a llarg termini per a aquests valors, ja que la configuració és un fitxer de text que pots revisar i conservar:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Llegeix les línies de la proposta abans del bloc, perquè el signe d'exclamació final en canvia el significat: fixa aquesta única proposta i elimina les alternatives que el client oferiria d'altra manera. Una passarel·la configurada per a un sol parell de transformacions rebutjarà un client que s'obre amb una llista, així que la fixació és el que converteix una negociació en una coincidència. Pren els noms exactes dels algoritmes del perfil de passarel·la que funciona i substitueix els marcadors pels teus valors.

Les dues línies d'autenticació no són redundants. La PSK demostra el peer, el bloc XAuth demostra l'usuari, i eliminar qualsevol de les dues deixa una fase que la passarel·la no acabarà.

Llegeix la fallada abans de canviar un altre camp

Treballa enrere des del símptoma en lloc de tornar a aleatoritzar el diàleg. Un IKE SA que puja sense adreça assignada vol dir que l'intercanvi d'autenticació d'usuari ha fallat o no s'ha executat mai, així que revisa el compte i el tractament del testimoni. Una fase 1 que no s'acaba mai apunta a la proposta, a l'identificador de grup o al mode agressiu, i cadascun d'aquests es compara amb la passarel·la, no només amb el client de Windows.

Un túnel que s'estableix i després mor cada pocs minuts és un desacord de detecció de peer mort entre els dos extrems; iguala el temporitzador de la passarel·la en lloc de desactivar els keepalives a tot arreu. Un túnel establert on els amfitrions de l'oficina segueixen inabastables normalment vol dir que la subxarxa emesa mai no va arribar a la taula d'encaminament local, cosa que un client de tercers potser no fa per si sol.

Torna els valors que funcionen al propietari de la passarel·la quan acabis: protocol, identificador de grup, clau prèviament compartida, proposta, PFS i la decisió de DPD. La següent màquina Linux aleshores triga minuts en lloc d'una tarda, i ningú no ha de redescobrir que el nom del grup era zero.