FortiGate IPsec ar Linux: pa gleient sy'n cysylltu mewn gwirionedd

Mae eich cydweithiwr Windows yn mewnforio proffil dewin FortiGate ac ar-lein mewn munud. Rydych chi'n gosod yr un pecyn gan y gwerthwr ar Ubuntu, yn chwilio am dab IPsec, ac yn dod o hyd i gleient nad yw'n gwybod dim ond agor SSL VPN porth. Mae'r casgliad sy'n dilyn fel arfer yn anghywir ddwywaith: nid yw'r porth yn eich gwrthod, ac nid yw'r adeiladwaith Linux wedi torri. Mae Fortinet yn cludo'r cleient hwnnw gyda chefnogaeth SSL VPN yn unig, felly nid oes lle i broffil IPsec symudol fyw ac mae'n rhaid ei ail-adeiladu yn rhywle sy'n siarad IKEv1.

Yn gyntaf, penderfynwch pa brotocol a gawsoch mewn gwirionedd

Mae'r ail-adeiladu hwnnw'n fecanyddol unwaith y byddwch yn stopio trin cleient y gwerthwr fel y gweithrediad cyfeirio.

Mae dyfeisiau FortiGate yn cyhoeddi SSL VPN ac IPsec, ac anaml y mae'r e-bost trosglwyddo'n dweud pa un a gawsoch. Mae URL porth ynghyd â thudalen fewngofnodi ar ffurf porwr yn golygu SSL VPN, ac ar Linux yr ateb yno yw openfortivpn, nid y mapio meysydd isod. Mae dynodydd grŵp ynghyd ag allwedd a rennir ymlaen llaw yn golygu IPsec symudol, sef yr hyn y mae vpnc a strongSwan yn ei drin.

Gwneud hyn yn anghywir yw'r rheswm mwyaf cyffredin dros i ymgais Linux farw cyn i'r cam cyntaf gwblhau: mae'r cleient yn cynnig IKEv1 i borth HTTPS neu i'r gwrthwyneb. Gofynnwch i'r gweinyddwr am enw'r protocol yn ysgrifenedig cyn i chi osod unrhyw beth.

Mae pedwar manylyn yn teithio mewn pedwar maes gwahanol

Mae'r gair cyfrinair yn ymddangos ddwywaith yn y rhan fwyaf o drosglwyddiadau ac yn golygu dau beth gwahanol. Mae'r allwedd a rennir ymlaen llaw yn dilysu'r cymar ei hun, ac mae'n gyfrinach peiriant y mae'r gweinyddwr yn ei darllen o ffurfweddiad y porth. Mae cyfrinair eich cyfrif yn fanylyn ar wahân sy'n profi pa berson sydd y tu ôl i'r cymar hwnnw.

Mae'r ddau werth arall yn haws eu colli. Y dynodydd grŵp yw'r llinyn a ysgrifennodd y dewin yn wrthrych y grŵp IPsec, ac mae 0 yn werth cyfreithlon yn hytrach na maes gwag. Mae'r cynnig yn cwmpasu amgryptio, hasio a grŵp Diffie-Hellman ar gyfer pob cam, ynghyd â'r gosodiad PFS, ac mae'n rhaid i bob eitem ynddo gyd-fynd â'r porth. Pan fydd cysylltiad yn methu yng ngham 1, bron bob amser un o'r pedwar hynny yw'r euog, felly nodwch nhw ar wahân yn lle eu gollwng i mewn i un deialog.

Beth sydd yn rhaid i bob maes vpnc ei gynnwys

Gosodwch y cleient ynghyd â'r rhyngwyneb golygu, yna crëwch gysylltiad VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Gosodwch y porth i gyfeiriad cyhoeddus y FortiGate, a gosodwch enw'r grŵp yn union i'r dynodydd o'r porth, gan gynnwys sero noeth. Mae Group password yn cymryd yr allwedd a rennir ymlaen llaw, tra bod enw defnyddiwr a chyfrinair yn cymryd eich cyfrif, gydag unrhyw docyn yn ychwanegol fel y mae'r porth yn disgwyl. Yn y deialog uwch, dewiswch y grŵp Diffie-Hellman a enwir gan y cynnig, cyfatebwch PFS i'r un grŵp, galluogwch drafod NAT pan fydd y cleient y tu ôl i lwybrydd cartref, a gadewch ddarganfod cymar marw yn un cam â'r porth.

Enw'r grŵp yw'r maes sy'n cael ei hepgor, oherwydd ei fod yn edrych yn ddewisol ac mae'r sero diofyn yn debyg i le dalfan. Anfonwch ef yn wag ac mae'r cleient yn trosglwyddo dynodydd gwahanol i'r un y mae'r porth yn ei ddilysu. Os yw'r proffil yn dal i fethu, cymharwch y gwerthoedd uwch â'r cleient Windows sy'n gweithio yn hytrach nag â phost fforwm ar gyfer safle arall.

Yr un proffil wedi'i ysgrifennu ar gyfer strongSwan

strongSwan yw'r cynhwysydd tymor hir gwell ar gyfer y gwerthoedd hyn, gan mai ffeil destun rydych chi'n gallu ei hadolygu a'i chadw yw'r ffurfweddiad:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Darllenwch linellau'r cynnig cyn y bloc, oherwydd mae'r ebychnod ar y diwedd yn newid eu hystyr: mae'n pinsio'r un cynnig hwnnw ac yn tynnu'r dewisiadau eraill y byddai'r cleient fel arall yn eu cynnig. Bydd porth a ffurfweddir ar gyfer un pâr trawsnewid yn gwrthod cleient sy'n agor â rhestr, felly'r pinsio sy'n troi trafodaeth yn gyfatebiaeth. Cymerwch yr union enwau algorithmau o broffil y porth sy'n gweithio, a disodlwch y lleoedd dalfan â'ch gwerthoedd eich hun.

Nid yw'r ddwy linell dilysu yn ddiangen. Mae'r PSK yn profi'r cymar, mae'r bloc XAuth yn profi'r defnyddiwr, ac mae gollwng y naill neu'r llall yn gadael cam na fydd y porth yn ei orffen.

Darllenwch y methiant cyn newid maes arall

Gweithiwch yn ôl o'r symptom yn hytrach na hap-drefnu'r deialog. Mae IKE SA sy'n codi heb gyfeiriad wedi'i neilltuo yn golygu bod y cyfnewid dilysu defnyddiwr wedi methu neu heb redeg o gwbl, felly gwiriwch y cyfrif a'r trin tocynnau. Mae cam 1 nad yw byth yn cwblhau yn pwyntio at y cynnig, y dynodydd grŵp neu'r modd ymosodol, ac mae pob un o'r rheini'n cael ei gymharu â'r porth, nid â chleient Windows yn unig.

Mae twnnel sy'n sefydlu ac yna'n marw bob ychydig funudau yn anghytundeb darganfod cymar marw rhwng y ddau ben; cyfatebwch amserydd y porth yn hytrach na diffodd keepalives ym mhob man. Mae twnnel sefydledig lle mae gwesteiwyr y swyddfa yn parhau'n anghyraeddadwy fel arfer yn golygu na chyrhaeddodd yr is-rwydwaith a wthiwyd fyth y tabl llwybro lleol, ac efallai na fydd cleient trydydd parti yn gwneud hynny ar ei ben ei hun.

Dychwelwch y gwerthoedd sy'n gweithio i berchennog y porth pan fyddwch wedi gorffen: protocol, dynodydd grŵp, allwedd a rennir ymlaen llaw, cynnig, PFS a'r penderfyniad DPD. Yna mae'r peiriant Linux nesaf yn cymryd munudau yn lle noson, ac nid oes rhaid i neb ailddarganfod mai sero oedd enw'r grŵp.