Ταιριάξτε τον πελάτη VPN του Linux με το πρωτόκολλο της παλιάς συσκευής

Τέσσερις οικογένειες πρωτοκόλλων καλύπτουν σχεδόν κάθε συσκευή που στέκει ακόμη σε ένα rack, και καθεμία αποτυγχάνει διαφορετικά στο Linux. Οι δημοσιευμένες θύρες και οι διαμορφωμένες προτάσεις του απέναντι άκρου καθορίζουν το πακέτο σας, όχι η διανομή που τυχαίνει να τρέχετε. Το να εγκαθιστάτε ό,τι αναφέρει μια δημοσίευση σε φόρουμ και μετά να επεξεργάζεστε μέχρι να συνδεθεί κάτι είναι ο τρόπος με τον οποίο χάνεται ένα απόγευμα. Διαβάστε τη συσκευή, εγκαταστήστε δεύτερο, επαληθεύστε τρίτο.

Καταγράψτε τι δημοσιεύει το απέναντι άκρο

Γράψτε το πρωτόκολλο, τις θύρες και την ταυτοποίηση που περιμένει η συσκευή πριν ανοίξετε έναν διαχειριστή πακέτων. Τέσσερις οικογένειες καλύπτουν τον περισσότερο παλιό εξοπλισμό, και ο πίνακας παρακάτω είναι όλη η απόφαση σε μία οθόνη.

Το εγχειρίδιο και οι κανόνες τείχους προστασίας της ίδιας της συσκευής είναι πιο αξιόπιστα από το όνομα πρωτοκόλλου στη σελίδα σύνδεσής της. Μια συσκευή που διαφημίζει IPsec μπορεί να μιλά μόνο IKEv1, και μια έκδοση firmware που δεν εφάρμοσε κανείς μπορεί να είναι αυτή που τελικά προσθέτει IKEv2. Επιβεβαιώστε τη διαδρομή δεδομένων καθώς και τη θύρα ρύθμισης, γιατί εκεί διαφωνούν ο παλιός εξοπλισμός και τα σύγχρονα δίκτυα. Το λάθος σε αυτό το βήμα σημαίνει να αποσφαλματώνετε τον πελάτη σας απέναντι σε ένα χαρακτηριστικό που το άλλο άκρο δεν είχε ποτέ.

PPTP: αποδείξτε το GRE πριν επεξεργαστείτε το pppd

Το PPTP στο Linux δεν είναι δαίμονας που ξεκινάτε αλλά κλήση του pppd, και οι παράμετροι σύνδεσης ζουν σε ένα επώνυμο αρχείο peer που διαβάζει το pppd όταν καλείται. Οι διανομές εξακολουθούν να το πακετάρουν, αν και οι γνωστές αδυναμίες του πρωτοκόλλου το καθιστούν ακατάλληλο για οτιδήποτε ευαίσθητο, οπότε κρατήστε το αυστηρά για συσκευή που δεν προσφέρει τίποτε άλλο. Προσέξτε το GRE όσο ο πελάτης διαπραγματεύεται, με μια σύντομη καταγραφή αντί για εικασία. Η αποτυχία που σπαταλά τον περισσότερο χρόνο δεν είναι η ταυτοποίηση αλλά η απούσα διαδρομή δεδομένων.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Αν η ρύθμιση ολοκληρωθεί και ο σύνδεσμος δεν μεταφέρει ποτέ κίνηση, υποπτευθείτε τη διαδρομή GRE πριν αγγίξετε τα διαπιστευτήρια. Οι ομάδες ασφαλείας του cloud χρειάζονται ρητό κανόνα για το πρωτόκολλο 47, και μερικά δίκτυα το μπλοκάρουν εντελώς χωρίς ορατό σφάλμα. Δοκιμάστε από το δίκτυο που θα χρησιμοποιήσετε πραγματικά, όχι από εργαστήριο που επιτρέπει τα πάντα.

L2TP/IPsec: μία ταιριαστή πρόταση νικά δέκα απόπειρες

Διαβάστε το ημερολόγιο του δαίμονα αντί για το παράθυρο της επιφάνειας εργασίας, γιατί το παράθυρο συμπτύσσει πολλές διαφορετικές αποτυχίες σε ένα μήνυμα. Το σφάλμα NO_PROPOSAL_CHOSEN ανήκει στην πρώτη φάση: ο πελάτης πρόσφερε κρυπτογράφηση, hash ή ομάδα Diffie-Hellman που ο διακομιστής δεν θα δεχτεί. Απαριθμήστε τι υποστηρίζει η συσκευή και γράψτε μία πρόταση που ταιριάζει, γιατί οι τυχαίοι συνδυασμοί συνήθως παράγουν το ίδιο σφάλμα πιο αργά. Στην επιφάνεια εργασίας ο πρακτικός πελάτης είναι το πρόσθετο NetworkManager L2TP με strongSwan ή Libreswan από κάτω.

Ένα αλφαριθμητικό πρότασης που σημαίνει ένα πράγμα για ένα πρόσθετο επιφάνειας εργασίας μπορεί να σημαίνει κάτι άλλο για τον δαίμονα στον οποίο παραδίδει τη δουλειά, οπότε κρατήστε τη σύνταξη κατάλληλη για το επίπεδο που επεξεργάζεστε. Αν η συσκευή απαιτεί και μυστικό σήραγγας, αυτό είναι ξεχωριστό στάδιο από το κλειδί IPsec. Επιβεβαιώστε για ποιο από τα δύο ρωτά η διεπαφή πριν πληκτρολογήσετε οτιδήποτε σε αυτή.

Επιθετικό IKEv1 με XAuth, και η περίπτωση της πύλης

Ένα άκρο τύπου FortiGate συνήθως θέλει επιθετική λειτουργία με XAuth και διεύθυνση σε λειτουργία διαμόρφωσης, κάτι που ένα γραφικό πρόσθετο μπορεί να μην εκθέτει καθόλου. Ο γνήσιος δαίμονας το χειρίζεται, και το μπλοκ παρακάτω είναι η μορφή αυτής της διαμόρφωσης και όχι ένα πλήρες αρχείο. Ελέγξτε την τρέχουσα τεκμηρίωση του κατασκευαστή για τις τιμές της πρότασης.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Οι παλαιότερες εκδόσεις strongSwan χρησιμοποιούσαν xauth=client όπου η έκδοση 5 χρησιμοποιεί leftauth2=xauth, οπότε ένα αντιγραμμένο απόσπασμα μπορεί να αποτύχει μόνο στη σύνταξη. Για πύλη TLS, το openconnect που μιλά το πρωτόκολλο AnyConnect χειρίζεται Cisco και τις περισσότερες μετονομασμένες μάρκες, και χρειάζεται συσκευή TUN συν τα δικαιώματα για να τη ρυθμίσει. Περάστε τη διεύθυνση της πύλης ακριβώς όπως τη δείχνει το πρόγραμμα περιήγησης, συμπεριλαμβανομένης οποιασδήποτε διαδρομής περιμένει η συσκευή, και μετά ελέγξτε τη διευθυνόμενη διεύθυνση πριν δοκιμάσετε οτιδήποτε πίσω της. Η εκ των προτέρων δημιουργία της διεπαφής αφαιρεί μια κατηγορία εκπλήξεων κατά τη ρύθμιση.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Συνδεθείτε, μετά επαληθεύστε με σταθερή σειρά

Τρέξτε ακριβώς έναν διαχειριστή VPN κάθε φορά, γιατί ένα προφίλ NetworkManager και ένας δαίμονας που ξεκίνησε με το χέρι θα μαλώσουν για διαδρομές και DNS. Κατεβάστε το προφίλ πριν δοκιμάσετε χειροκίνητη σύνδεση, και επιβεβαιώστε ότι δεν επιβιώνει καμία παλιά διεπαφή σήραγγας. Έπειτα επαληθεύστε με αυτή τη σειρά: διεύθυνση σήραγγας, διαδρομή προς τον μοναδικό εσωτερικό κεντρικό υπολογιστή που χρειάζεστε, επίλυση ονομάτων και τέλος ένα πραγματικό αίτημα. Ένα πράσινο εικονίδιο αποδεικνύει την ταυτοποίηση και τίποτε άλλο.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Αν ένα βήμα αποτύχει, σταματήστε εκεί αντί να δοκιμάσετε το επόμενο, γιατί μια αποτυχία DNS κατάντη μιας σπασμένης διαδρομής δεν σας μαθαίνει τίποτε. Αποθηκεύστε αντίγραφο του προφίλ που δουλεύει πριν πειραματιστείτε, γιατί ένα διαγραμμένο αρχείο σύνδεσης χάνεται εύκολα και ξαναχτίζεται κουραστικά. Κρατήστε τις τιμές της πρότασης στο ίδιο σημείωμα με το μοντέλο της συσκευής και την έκδοση firmware, γιατί αυτό το σημείωμα είναι η διαφορά ανάμεσα σε μετεγκατάσταση και αρχαιολογικό έργο όταν αντικατασταθεί το κουτί.