Πελάτης Fortinet για Linux: ελέγξτε την πύλη πριν από την επισκευή

Ο αρχειοθετημένος οδηγός λέει να εγκαταστήσετε βιβλιοθήκες 32-bit, να επιδιορθώσετε ένα θέμα GTK και να εκτελέσετε το πρόγραμμα εγκατάστασης από ένα τερματικό. Μέρος αυτής της συμβουλής ήταν σωστό για μια συγκεκριμένη έκδοση πελάτη και τίποτα από αυτήν δεν μπορεί να επαναφέρει μια λειτουργία σήραγγας που η πύλη δεν προσφέρει πλέον. Πριν αλλάξετε ένα πακέτο, βρείτε το πρώτο στάδιο που απέτυχε. Αυτό προχωρά από την πύλη προς τα μέσα, γιατί εκεί οι απαντήσεις είναι φθηνές και μια λάθος τοπική διόρθωση κοστίζει τον περισσότερο χρόνο.

Έλεγχος 1: ονομάστε το στάδιο που απέτυχε

Τρία στάδια αποτυγχάνουν με διαφορετικούς τρόπους. Το πρόγραμμα δεν εκκινεί, εκκινεί και απορρίπτει την ταυτότητα του διακομιστή, ή συνδέεται και η πύλη δεν έχει υπηρεσία του είδους που χρειάζεστε. Κάθε αποτυχία αφήνει τη δική της απόδειξη: σφάλμα φορτωτή, μήνυμα πιστοποιητικού, απάντηση πύλης που ονομάζει μια μη διαθέσιμη λειτουργία.

Γράψτε το πριν αγγίξετε οτιδήποτε. Ό,τι ακολουθεί εξαρτάται από το ποιο στάδιο ονομάσατε, και οι τρεις διορθώσεις δεν έχουν τίποτα κοινό.

Έλεγχος 2: η έκδοση της πύλης και η λειτουργία σήραγγας

Η λειτουργία σήραγγας έχει εξαφανιστεί στις τρέχουσες πύλες, και ο πίνακας ενσωμάτωσης FortiClient 7.4.4 για Linux είναι εκεί όπου αυτό είναι γραμμένο: το FortiOS 7.6.3 και νεότερο δεν προσφέρουν πλέον λειτουργία σήραγγας SSL VPN και στέλνουν τους διαχειριστές στο IPsec. Κρατήστε το προϊόν, την έκδοση και τη λειτουργία δεμένα σε εκείνη την πρόταση όταν την επαναλαμβάνετε. Δεν λέει τίποτα για κάθε προϊόν Fortinet και τίποτα για λειτουργίες πρόσβασης ιστού που υπάρχουν ακόμη. Η γενική συμβατότητα εκδόσεων και η διαθεσιμότητα μιας λειτουργίας σήραγγας είναι ξεχωριστοί έλεγχοι.

Ρωτήστε τον ιδιοκτήτη της πύλης δύο πράγματα: ποια έκδοση εκτελεί η πύλη και ποιες μέθοδοι πρόσβασης είναι ενεργοποιημένες σήμερα. Ζητήστε την απάντηση γραπτώς, με τη συμβολοσειρά έκδοσης και τη σελίδα ρυθμίσεων ή τη γραμμή διαμόρφωσης από όπου προέκυψε, γιατί μια προφορική διαβεβαίωση είναι αυτό που στέλνει τους ανθρώπους πίσω στον αρχειοθετημένο οδηγό. Έπειτα ελέγξτε αυτή την απάντηση με τις σημειώσεις της πύλης ή τον πίνακα του προμηθευτή για εκείνη ακριβώς την έκδοση. Ένα πρόγραμμα περιήγησης που αποδίδει την πύλη ιστού αποδεικνύει ότι η πύλη αποκρίνεται, και τίποτα περισσότερο.

Έλεγχος 3: η έκδοση πελάτη που εγκρίνει ο ιδιοκτήτης

Πάρτε την εγκεκριμένη έκδοση και παραλλαγή του πελάτη Linux και μετά ελέγξτε το υποστηριζόμενο λειτουργικό σύστημα, την αρχιτεκτονική, την επιφάνεια εργασίας και τη ροή ελέγχου ταυτότητας. Ο πίνακας 7.4.4 είναι παράδειγμα δεσμευμένο σε έκδοση, όχι σύσταση για τον νεότερο πελάτη και όχι υπόσχεση για κάθε παράγωγο. Ρωτήστε ποιον πελάτη θα υποστηρίξει πραγματικά ο ιδιοκτήτης, γιατί αυτή η απάντηση είναι μέρος της μετάβασης και όχι ύστερη σκέψη. Ένας πελάτης που πεθαίνει πριν το πρώτο του πακέτο φτάσει στην πύλη αποδεικνύει κάτι για τον φορητό υπολογιστή, όχι για την υπηρεσία.

Οι βιβλιοθήκες 32-bit και ένα επιδιορθωμένο θέμα αλλάζουν το τι μπορεί να φορτώσει το δυαδικό αρχείο· δεν αλλάζουν το τι υποστηρίζει ο προμηθευτής. Αν το λειτουργικό σύστημα ή η ροή ελέγχου ταυτότητας βρίσκεται εκτός του πίνακα, το ερώτημα καταλληλότητας έχει ήδη απαντηθεί.

Έλεγχος 4: ζητήστε το προφίλ αντικατάστασης

Αν ο οργανισμός μετακινήθηκε από λειτουργία σήραγγας SSL VPN σε IPsec, ζητήστε το νέο προφίλ και τη διαδικασία εγγραφής στην ίδια συζήτηση. Μην μετονομάσετε μια διαμόρφωση SSL και υποθέσετε ότι τα πεδία μεταφέρονται: ένα προφίλ IPsec ονομάζει έκδοση IKE, απομακρυσμένη πύλη και την ταυτότητά της, μέθοδο ελέγχου ταυτότητας και τους επιλογείς κίνησης που δέχεται κάθε πλευρά. Η πολιτική λογαριασμού και συσκευής μπορεί επίσης να εφαρμόζεται διαφορετικά. Μια μετονομασία παράγει έναν πελάτη που φαίνεται διαμορφωμένος και δεν διαπραγματεύεται τίποτα.

Διαβάστε το προφίλ πριν το εμπιστευτείτε. Θα πρέπει να αναφέρει την έκδοση IKE και τις προτάσεις, αν ο έλεγχος ταυτότητας χρησιμοποιεί πιστοποιητικό ή προκοινοποιημένο κλειδί, ποια τοπικά και απομακρυσμένα υποδίκτυα επιλέγονται και τι περιμένει η πύλη ως ταυτότητά της. Επιβεβαιώστε ότι ο εγκεκριμένος πελάτης Linux υποστηρίζει αυτή τη διάταξη, γιατί ένα έγγραφο μετάβασης δεν είναι δήλωση ισοτιμίας λειτουργιών για κάθε έκδοση πελάτη. Ένας ανεξάρτητος πελάτης όπως το openfortivpn δεν είναι διερμηνέας του OpenVPN, οπότε θεωρήστε οτιδήποτε άλλο με SSL στο όνομά του μη εγκεκριμένο μέχρι ο ιδιοκτήτης να πει διαφορετικά για αυτή τη λειτουργία, αυτή τη ροή σύνδεσης και αυτή την πολιτική συσκευών.

Έλεγχος 5: τοπικές εξαρτήσεις, και μετά επικυρώστε και καταγράψτε

Με την πύλη και τον πελάτη τακτοποιημένα, μια αποτυχία εκκίνησης είναι πρόβλημα συσκευασίας, και οι οδηγίες του ίδιου του συντηρούμενου πακέτου είναι η αναφορά που πρέπει να ακολουθήσετε. Μια αποτυχία ταυτότητας TLS ανήκει στον χειριστή: οι άγκυρες εμπιστοσύνης και το αναμενόμενο όνομα είναι η διαμόρφωσή του, όχι κάτι που παρακάμπτεται τοπικά. Αυτά είναι τα δύο στάδια όπου ο αρχειοθετημένος οδηγός ήταν ποτέ χρήσιμος.

Κανένα από τα δύο δεν λύνεται αποδεχόμενοι ένα άγνωστο πιστοποιητικό ή απενεργοποιώντας έναν έλεγχο κατάστασης. Κρατήστε τους ελέγχους MFA και συσκευής στη θέση τους, γιατί η αποκατάσταση της συνδεσιμότητας αποδυναμώνοντάς τους ανταλλάσσει μια διακοπή με ένα περιστατικό. Αν η λειτουργία έχει χαθεί, καμία τοπική σημαία δεν τη φέρνει πίσω.

Μετά την εγκεκριμένη αλλαγή, φτάστε στον προοριζόμενο ιδιωτικό πόρο, επιβεβαιώστε την επίλυση DNS και επανασυνδεθείτε μία φορά. Καταγράψτε τον πελάτη, την πλατφόρμα, την έκδοση της πύλης και τη λειτουργία σήραγγας μαζί, γιατί το επόμενο άτομο χρειάζεται και τα τέσσερα. Ένα πρόγραμμα που ανοίγει με επιτυχία έχει περάσει το τοπικό στάδιο εκκίνησης, και τίποτα άλλο.