FortiGate IPsec na Linuxu: který klient se skutečně připojí

Váš kolega na Windowsu naimportuje profil z průvodce FortiGate a do minuty je online. Vy nainstalujete stejný balíček výrobce na Ubuntu, hledáte kartu IPsec a najdete klienta, který umí jen otevřít SSL VPN portál. Závěr, který z toho plyne, bývá dvakrát špatný: brána vás neodmítá a sestavení pro Linux není rozbité. Fortinet dodává toho klienta pouze s podporou SSL VPN, takže mobilní profil IPsec nemá kde žít a musí se znovu postavit někde, kde mluví IKEv1.

Nejprve zjistěte, jaký protokol jste vlastně dostali

Tato přestavba je mechanická, jakmile přestanete považovat klientský software výrobce za referenční implementaci.

Zařízení FortiGate publikují jak SSL VPN, tak IPsec, a e-mail s předáním málokdy řekne, který vám byl přidělen. URL portálu plus přihlašovací stránka vzhledu prohlížeče znamená SSL VPN a na Linuxu je tam odpovědí openfortivpn, ne mapování polí níže. Identifikátor skupiny plus předsdílený klíč znamená mobilní IPsec, což je to, co zvládají vpnc a strongSwan.

Splést to je nejčastější důvod, proč linuxový pokus umře dřív, než se první fáze dokončí: klient nabízí IKEv1 portálu HTTPS nebo naopak. Než cokoli nainstalujete, vyžádejte si od správce název protokolu písemně.

Čtyři údaje cestují ve čtyřech různých polích

Slovo password se ve většině předání objevuje dvakrát a znamená dvě různé věci. Předsdílený klíč ověřuje samotný protějšek a je to strojní tajemství, které správce čte z konfigurace brány. Heslo vašeho účtu je samostatný údaj, který dokazuje, který člověk za tím protějškem stojí.

Další dvě hodnoty se přehlédnou snadněji. Identifikátor skupiny je řetězec, který průvodce zapsal do objektu skupiny IPsec, a 0 je legitimní hodnota, ne prázdné pole. Návrh pokrývá šifrování, hashování a skupinu Diffie-Hellman pro každou fázi, plus nastavení PFS, a každá jeho položka musí souhlasit s bránou. Když spojení selže ve fázi 1, téměř vždy je viníkem jedna z těch čtyř, tak si je zapisujte zvlášť, místo abyste je naházeli do jednoho dialogu.

Co musí obsahovat každé pole vpnc

Nainstalujte klienta spolu s editačním rozhraním a potom vytvořte připojení VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Nastavte bránu na veřejnou adresu FortiGate a název skupiny přesně na identifikátor z brány, včetně holé nuly. Group password přebírá předsdílený klíč, zatímco uživatelské jméno a heslo přebírají váš účet, s případným tokenem připojeným tak, jak brána očekává. V rozšířeném dialogu vyberte skupinu Diffie-Hellman, kterou návrh uvádí, sladit PFS se stejnou skupinou, zapněte průchod NAT, když je klient za domácím routerem, a nechte detekci mrtvého protějšku ve shodě s bránou.

Název skupiny je pole, které se přeskakuje, protože vypadá volitelně a výchozí nula připomíná zástupný symbol. Pošlete ho prázdné a klient přenese jiný identifikátor, než který brána ověřuje. Pokud profil stále nefunguje, porovnejte rozšířené hodnoty s funkčním klientem pro Windows, ne s příspěvkem na fóru pro jinou lokalitu.

Stejný profil napsaný pro strongSwan

strongSwan je lepší dlouhodobý kontejner pro tyto hodnoty, protože konfigurace je textový soubor, který můžete projít a uchovat:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Přečtěte si řádky návrhu před blokem, protože vykřičník na konci mění jejich význam: připíná tento jediný návrh a odstraňuje alternativy, které by klient jinak nabídl. Brána nakonfigurovaná pro jednu dvojici transformací odmítne klienta, který se otevírá seznamem, takže právě připnutí mění vyjednávání ve shodu. Vezměte přesné názvy algoritmů z funkčního profilu brány a zástupné symboly nahraďte svými hodnotami.

Dva řádky ověřování nejsou nadbytečné. PSK dokazuje protějšek, blok XAuth dokazuje uživatele a vynechání kteréhokoli z nich zanechá fázi, kterou brána nedokončí.

Přečtěte si selhání, než změníte další pole

Postupujte od příznaku zpět, místo abyste dialog znovu znáhodňovali. IKE SA, který vstane bez přidělené adresy, znamená, že výměna ověření uživatele selhala nebo nikdy neproběhla, tak zkontrolujte účet a práci s tokenem. Fáze 1, která nikdy neskončí, ukazuje na návrh, identifikátor skupiny nebo agresivní režim a každý z nich se porovnává s bránou, ne jen s klientem pro Windows.

Tunel, který se naváže a pak každých pár minut umře, je neshoda v detekci mrtvého protějšku mezi oběma konci; sladit časovač brány, místo abyste keepalive vypínali všude. Navázaný tunel, kde kancelářští hostitelé zůstávají nedostupní, obvykle znamená, že protlačená podsíť nikdy nedorazila do místní směrovací tabulky, což klientský software třetí strany sám udělat nemusí.

Až skončíte, předejte funkční hodnoty vlastníkovi brány: protokol, identifikátor skupiny, předsdílený klíč, návrh, PFS a rozhodnutí o DPD. Příští linuxový stroj pak zabere minuty místo večera a nikdo nemusí znovu objevovat, že název skupiny byla nula.