FortiGate IPsec på Linux: hvilken klient der faktisk forbinder

Din Windows-kollega importerer en FortiGate-guideprofil og er online på et minut. Du installerer den samme leverandørpakke på Ubuntu, leder efter en IPsec-fane og finder en klient, der kun kan åbne en SSL VPN-portal. Den konklusion, der følger, er normalt forkert to gange: gatewayen afviser dig ikke, og Linux-bygget er ikke i stykker. Fortinet leverer den klient med kun SSL VPN-understøttelse, så en mobil IPsec-profil har ingen sted at bo og skal genopbygges et sted, der taler IKEv1.

Først skal du afgøre, hvilken protokol du faktisk har fået

Den genopbygning er mekanisk, når du holder op med at behandle leverandørens klient som referenceimplementeringen.

FortiGate-enheder udsender både SSL VPN og IPsec, og overdragelsesmailen siger sjældent, hvilken du har fået. En portal-URL plus en login-side i browserstil betyder SSL VPN, og på Linux er svaret der openfortivpn, ikke feltmappingen nedenfor. Et gruppe-id plus en forud delt nøgle betyder mobil IPsec, hvilket er det, vpnc og strongSwan håndterer.

At tage fejl her er den enkelt mest almindelige grund til, at et Linux-forsøg dør, før første fase er færdig: klienten tilbyder IKEv1 til en HTTPS-portal eller omvendt. Bed administratoren om protokollens navn på skrift, før du installerer noget.

Fire legitimationsoplysninger rejser i fire forskellige felter

Ordet password optræder to gange i de fleste overdragelser og betyder to forskellige ting. Den forud delte nøgle godkender peer'en selv, og det er en maskinhemmelighed, som administratoren læser ud af gateway-konfigurationen. Din kontoadgangskode er en separat legitimation, der beviser, hvilket menneske der står bag den peer.

De to andre værdier er lettere at overse. Gruppe-id'et er den streng, guiden skrev ind i IPsec-gruppeobjektet, og 0 er en legitim værdi og ikke et tomt felt. Forslaget dækker kryptering, hashing og en Diffie-Hellman-gruppe for hver fase plus PFS-indstillingen, og hvert element i det skal stemme med gatewayen. Når en forbindelse fejler i fase 1, er en af de fire næsten altid synderen, så skriv dem ned hver for sig i stedet for at smide dem i én dialog.

Hvad hvert vpnc-felt skal indeholde

Installer klienten sammen med editor-frontenden, og opret derefter en VPNC-forbindelse:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Sæt gatewayen til FortiGates offentlige adresse, og sæt gruppenavnet præcis til id'et fra gatewayen, inklusive et bart nul. Group password tager den forud delte nøgle, mens brugernavn og adgangskode tager din konto, med ethvert token tilføjet, som gatewayen forventer. I den avancerede dialog vælges den Diffie-Hellman-gruppe, som forslaget angiver, PFS tilpasses samme gruppe, NAT-gennemførsel aktiveres, når klienten står bag en hjemmerouter, og registrering af død peer holdes i takt med gatewayen.

Gruppenavnet er det felt, der bliver sprunget over, fordi det ser valgfrit ud, og standardværdien nul ligner en pladsholder. Send det tomt, og klienten sender et andet id end det, gatewayen validerer. Hvis profilen stadig fejler, sammenlign de avancerede værdier med den fungerende Windows-klient i stedet for med et forumindlæg til et andet websted.

Den samme profil skrevet til strongSwan

strongSwan er den bedre langtidsbeholder til disse værdier, da konfigurationen er en tekstfil, du kan gennemgå og gemme:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Læs forslagslinjerne før blokken, fordi udråbstegnet i slutningen ændrer deres betydning: det fastlåser netop det forslag og fjerner de alternativer, klienten ellers ville tilbyde. En gateway konfigureret til ét transformationspar vil afvise en klient, der åbner med en liste, så fastlåsningen er det, der gør en forhandling til et match. Tag de præcise algoritmenavne fra den fungerende gateway-profil, og erstat pladsholderne med dine egne værdier.

De to godkendelseslinjer er ikke overflødige. PSK'en beviser peer'en, XAuth-blokken beviser brugeren, og fjerner man en af dem, efterlades en fase, som gatewayen ikke afslutter.

Læs fejlen, før du ændrer endnu et felt

Arbejd baglæns fra symptomet i stedet for at randomisere dialogen igen. En IKE SA, der kommer op uden tildelt adresse, betyder, at brugerens godkendelsesudveksling fejlede eller aldrig kørte, så tjek kontoen og token-håndteringen. En fase 1, der aldrig fuldføres, peger på forslaget, gruppe-id'et eller aggressiv tilstand, og hver af dem sammenlignes med gatewayen, ikke kun med Windows-klienten.

En tunnel, der etableres og derefter dør hvert par minutter, er en uenighed om registrering af død peer mellem de to ender; tilpas gatewayens timer i stedet for at slå keepalives fra overalt. En etableret tunnel, hvor kontorets værter forbliver utilgængelige, betyder normalt, at det skubbede subnet aldrig landede i den lokale routingtabel, hvilket en tredjepartsklient måske ikke gør af sig selv.

Giv de fungerende værdier tilbage til gatewayens ejer, når du er færdig: protokol, gruppe-id, forud delt nøgle, forslag, PFS og DPD-beslutningen. Den næste Linux-maskine tager så minutter i stedet for en aften, og ingen behøver at genopdage, at gruppenavnet var nul.