Cydweddwch gleient VPN Linux â phrotocol yr hen gyfarpar

Mae pedair teulu protocol yn cwmpasu bron pob cyfarpar sydd o hyd mewn rac, ac mae pob un yn methu'n wahanol ar Linux. Porthladdoedd cyhoeddedig a chynigion wedi'u ffurfweddu'r pen pell sy'n penderfynu eich pecyn, nid y dosbarthiad rydych chi'n digwydd ei redeg. Gosod beth bynnag y mae post fforwm yn sôn amdano ac yna golygu nes bod rhywbeth yn cysylltu yw sut mae prynhawn yn diflannu. Darllenwch y cyfarpar, gosodwch yn ail, dilyswch yn drydydd.

Cofnodwch yr hyn mae'r pen pell yn ei gyhoeddi

Ysgrifennwch y protocol, y porthladdoedd a'r dilysu y mae'r cyfarpar yn ei ddisgwyl cyn agor rheolwr pecynnau. Mae pedair teulu yn cwmpasu'r rhan fwyaf o offer hen, ac mae'r tabl isod yw'r penderfyniad cyfan ar un sgrin.

Mae'r llawlyfr a rheolau wal dân y cyfarpar ei hun yn fwy dibynadwy na'r enw protocol ar ei dudalen mewngofnodi. Gall dyfais sy'n hysbysebu IPsec siarad IKEv1 yn unig, a gall rhyddhau cadarnwedd na chafodd neb ei osod fod yr un sy'n ychwanegu IKEv2 yn y pen draw. Cadarnhewch y llwybr data yn ogystal â'r porthladd gosod, oherwydd dyna lle mae offer hen a rhwydweithiau modern yn anghytuno. Cael y cam hwn yn anghywir yw diffygion eich cleient yn erbyn nodwedd na chafodd y pen arall mohoni erioed.

PPTP: profwch GRE cyn golygu pppd

Nid daemon rydych chi'n ei gychwyn yw PPTP ar Linux ond galwad pppd, ac mae paramedrau'r cysylltiad yn byw mewn ffeil peer a enwir y mae pppd yn ei darllen pan gaiff ei alw. Mae dosbarthiadau yn dal i'w becynnu, er bod gwendidau hysbys y protocol yn ei wneud yn anaddas ar gyfer unrhyw beth sensitif, felly cadwch ef yn gaeth ar gyfer cyfarpar nad yw'n cynnig dim arall. Gwyliwch am GRE wrth i'r cleient drafod, gyda chipolwg byr yn hytrach na dyfalu. Y methiant sy'n gwastraffu fwyaf o amser nid dilysu mohono ond y llwybr data coll.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Os yw'r gosodiad yn gorffen ac nad yw'r cyswllt byth yn cario traffig, amheuwch y llwybr GRE cyn cyffwrdd â cholegfeydd. Mae grwpiau diogelwch cwmwl angen rheol benodol ar gyfer protocol 47, ac mae rhai rhwydweithiau yn ei rwystro'n llwyr heb wall gweladwy. Profwch o'r rhwydwaith y byddwch chi'n ei ddefnyddio mewn gwirionedd, nid o labordy sy'n caniatáu popeth.

L2TP/IPsec: mae un cynnig cyfatebol yn curo deg ymgais

Darllenwch log y daemon yn hytrach na deialog y bwrdd gwaith, oherwydd mae'r deialog yn cywasgu sawl methiant gwahanol yn un neges. Mae gwall NO_PROPOSAL_CHOSEN yn perthyn i'r cyfnod cyntaf: cynigiodd y cleient amgryptio, hash neu grŵp Diffie-Hellman na fydd y gweinydd yn ei dderbyn. Rhestroch beth mae'r cyfarpar yn ei gefnogi ac ysgrifennwch un cynnig sy'n cyfateb iddo, oherwydd mae cyfuniadau ar hap yn aml yn cynhyrchu'r un gwall yn arafach. Ar fwrdd gwaith, y cleient ymarferol yw ategyn NetworkManager L2TP gyda strongSwan neu Libreswan oddi tano.

Gall llinyn cynnig sy'n golygu un peth i ategyn bwrdd gwaith olygu rhywbeth arall i'r daemon y mae'n trosglwyddo'r gwaith iddo, felly cadwch y gystrawen yn briodol i'r haen rydych chi'n ei golygu. Os yw'r cyfarpar hefyd yn mynnu cyfrinach twnnel, mae hwnnw'n gam ar wahân i'r allwedd IPsec. Cadarnhewch pa un o'r ddau y mae'r rhyngwyneb yn gofyn amdano cyn teipio unrhyw beth ynddo.

IKEv1 ymosodol gyda XAuth, ac achos y porth

Mae pen mewn arddull FortiGate fel arfer eisiau modd ymosodol gyda XAuth a chyfeiriad modd ffurfweddedig, na fydd ategyn graffigol yn ei ddatgelu o gwbl efallai. Mae'r daemon brodorol yn ymdopi ag ef, ac mae'r bloc isod yn ffurf ar y ffurfweddiad hwnnw yn hytrach na ffeil gyflawn. Edrychwch ar ddogfennaeth gyfredol y gwerthwr ar gyfer gwerthoedd y cynnig.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Roedd rhyddiadau hŷn o strongSwan yn defnyddio xauth=client lle mae fersiwn 5 yn defnyddio leftauth2=xauth, felly gall dangosyn a gopïwyd fethu ar gystrawen yn unig. Ar gyfer porth TLS, mae openconnect sy'n siarad protocol AnyConnect yn ymdopi â Cisco a'r rhan fwyaf o ail-frandiau, ac mae angen dyfais TUN a'r breintiau i'w ffurfweddu arno. Trosglwyddwch gyfeiriad y porth yn union fel y mae'r porwr yn ei ddangos, gan gynnwys unrhyw lwybr y mae'r cyfarpar yn ei ddisgwyl, yna gwiriwch y cyfeiriad a neilltuwyd cyn profi unrhyw beth y tu ôl iddo. Mae creu'r rhyngwyneb ymlaen llaw yn cael gwared ar un dosbarth o syndod yn ystod y gosodiad.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Cysylltwch, yna dilyswch mewn trefn sefydlog

Rhedwch un rheolwr VPN yn union ar y tro, oherwydd bydd proffil NetworkManager a daemon a gychwynnwyd â llaw yn ymladd dros lwybrau a DNS. Tynnwch y proffil i lawr cyn profi cysylltiad â llaw, a chadarnhewch nad oes rhyngwyneb twnnel hen wedi goroesi. Yna dilyswch yn y drefn hon: cyfeiriad y twnnel, llwybr i'r unig westai mewnol sydd ei angen arnoch, datrys enwau, ac yn olaf cais gwirioneddol. Nid yw eicon gwyrdd yn profi dim ond dilysu.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Os yw cam yn methu, stopiwch yno yn lle profi'r nesaf, oherwydd nid yw methiant DNS i lawr yr afon o lwybr toredig yn dysgu dim i chi. Cadwch gopi o'r proffil sy'n gweithio cyn arbrofi, oherwydd mae ffeil gysylltu a ddilëwyd yn hawdd ei cholli ac yn ddiflas ei hailadeiladu. Cadwch werthoedd y cynnig yn yr un nodyn â model y cyfarpar a fersiwn y cadarnwedd, oherwydd y nodyn hwnnw yw'r gwahaniaeth rhwng mudo a phrosiect archaeoleg pan fydd y blwch yn cael ei ddisodli.