Fortinet Linux-klient: kontroller gatewayen, før du reparerer

Den arkiverede guide siger, at du skal installere 32-bit-biblioteker, patche et GTK-tema og køre installationsprogrammet fra en terminal. Noget af dette råd var korrekt for en bestemt klientudgivelse, og intet af det kan bringe en tunneltilstand tilbage, som gatewayen ikke længere tilbyder. Før du ændrer en pakke, skal du finde det første trin, der fejlede. Det går fra gatewayen og indad, fordi svarene er billige der, og en forkert lokal rettelse koster mest tid.

Kontrol 1: navngiv det trin, der fejlede

Tre trin fejler forskelligt. Programmet starter ikke, det starter og afviser serverens identitet, eller det forbinder og gatewayen har ingen tjeneste af den slags, du har brug for. Hver fejl efterlader sit eget bevis: en loaderfejl, en certifikatmeddelelse, et gatewaysvar, der nævner en utilgængelig tilstand.

Skriv det ned, før du rører ved noget. Alt efter dette punkt afhænger af, hvilket trin du navngav, og de tre rettelser har intet til fælles.

Kontrol 2: gatewayens udgivelse og tunneltilstanden

Tunneltilstanden er væk på nuværende gateways, og FortiClient 7.4.4-integrationstabellen for Linux er, hvor det er skrevet ned: FortiOS 7.6.3 og nyere tilbyder ikke længere tunneltilstanden SSL VPN og sender administratorer videre til IPsec. Hold produktet, udgivelsen og tilstanden knyttet til den sætning, når du gentager den. Den siger intet om alle Fortinet-produkter og intet om webadgangsfunktioner, der stadig findes. Generel versionskompatibilitet og tilgængeligheden af én tunneltilstand er separate kontroller.

Spørg gatewayens ejer om to ting: hvilken udgivelse gatewayen kører, og hvilke adgangsmetoder der er aktiveret i dag. Bed om svaret skriftligt, med udgivelsesstrengen og den indstillingsside eller konfigurationslinje, det kommer fra, fordi en mundtlig forsikring er det, der sender folk tilbage til den arkiverede guide. Kontroller derefter svaret mod gatewayens noter eller leverandørens matrix for netop den udgivelse. En browser, der viser webportalen, beviser, at portalen svarer, og ikke mere.

Kontrol 3: den klientudgave, ejeren godkender

Hent den godkendte Linux-klientudgave og -version, og kontroller derefter det understøttede styresystem, arkitektur, skrivebord og godkendelsesforløb. 7.4.4-matricen er et versionsbundet eksempel, ikke en anbefaling af den nyeste klient og ikke et løfte for hver afledt variant. Spørg, hvilken klient ejeren faktisk vil understøtte, fordi det svar er en del af migreringen og ikke en eftertanke. En klient, der dør, før dens første pakke når gatewayen, beviser noget om den bærbare computer, ikke om tjenesten.

32-bit-biblioteker og et patchet tema ændrer, hvad binæren kan indlæse; de ændrer ikke, hvad leverandøren understøtter. Hvis styresystemet eller godkendelsesforløbet ligger uden for matricen, er kvalifikationsspørgsmålet allerede besvaret.

Kontrol 4: anmod om erstatningsprofilen

Hvis organisationen er flyttet fra SSL VPN-tunneltilstand til IPsec, skal du anmode om den nye profil og tilmeldingsproceduren i samme samtale. Omdøb ikke en SSL-konfiguration og antag, at felterne følger med: en IPsec-profil angiver en IKE-version, en fjern gateway og dens identitet, en godkendelsesmetode og de trafikvælgere, hver side accepterer. Konto- og enhedspolitik kan også håndhæves anderledes. En omdøbning giver en klient, der ser konfigureret ud og ikke forhandler noget.

Læs profilen, før du stoler på den. Den skal angive IKE-versionen og forslagene, om godkendelse bruger et certifikat eller en forudelt nøgle, hvilke lokale og fjernede undernet der er valgt, og hvad gatewayen forventer som sin identitet. Bekræft, at den godkendte Linux-klient understøtter den ordning, fordi et migreringsdokument ikke er en erklæring om funktionslighed for hver klientudgivelse. En uafhængig klient som openfortivpn er ikke en OpenVPN-fortolker, så behandl alt andet med SSL i navnet som ikke-godkendt, indtil ejeren siger andet for denne tilstand, dette loginforløb og denne enhedspolitik.

Kontrol 5: lokale afhængigheder, og validér og registrér derefter

Når gatewayen og klienten er afklaret, er en startfejl et pakningsproblem, og den vedligeholdte pakkes egne instruktioner er den reference, der skal følges. En TLS-identitetsfejl tilhører operatøren: tillidsankre og det forventede navn er deres konfiguration, ikke noget, man omgår lokalt. Det er de to trin, hvor den arkiverede guide nogensinde var nyttig.

Ingen af dem løses ved at acceptere et ukendt certifikat eller deaktivere en tilstandskontrol. Behold MFA- og enhedskontrollerne, fordi genoprettelse af forbindelsen ved at svække dem bytter et nedbrud for en hændelse. Hvis tilstanden er væk, bringer ingen lokal flag den tilbage.

Nå den tilsigtede private ressource efter den godkendte ændring, bekræft DNS-opløsning, og genopret forbindelsen én gang. Registrér klienten, platformen, gatewayens udgivelse og tunneltilstanden sammen, fordi den næste person har brug for alle fire. Et program, der åbner med succes, har bestået det lokale starttrin, og intet andet.