FortiGate IPsec sur Linux: kiu kliento vere konektiĝas

Via Windows-kolego importas FortiGate-asistantan profilon kaj estas enrete post unu minuto. Vi instalas la saman vendistan pakaĵon sur Ubuntu, serĉas langeton IPsec kaj trovas klienton, kiu scias nur malfermi SSL VPN-portalon. La konkludo, kiu sekvas, estas kutime malĝusta dufoje: la enirejo ne malakceptas vin, kaj la Linux-konstruo ne estas rompita. Fortinet sendas tiun klienton nur kun subteno de SSL VPN, do mobila IPsec-profillo ne havas lokon por vivi kaj devas esti rekonstruita ie, kie oni parolas IKEv1.

Unue decidu, kiun protokolon vi efektive ricevis

Tiu rekonstruo estas mekanika, tuj kiam vi ĉesas trakti la vendistan klienton kiel la referencan efektivigon.

FortiGate-aparatoj publikigas kaj SSL VPN kaj IPsec, kaj la transdona retpoŝto malofte diras, kiun oni donis al vi. Portal-URL plus ensaluta paĝo laŭ la stilo de retumilo signifas SSL VPN, kaj sur Linux la respondo tie estas openfortivpn, ne la kampomapo sube. Grupa identigilo plus antaŭe kunhavigita ŝlosilo signifas movilan IPsec, kiun traktas vpnc kaj strongSwan.

Erari pri tio estas la plej ofta kialo, ke Linux-provo mortas antaŭ ol la unua fazo finiĝas: la kliento proponas IKEv1 al HTTPS-portalo aŭ inverse. Petu de la administranto la nomon de la protokolo skribe antaŭ ol instali ion ajn.

Kvar akreditaĵoj vojaĝas en kvar malsamaj kampoj

La vorto password aperas dufoje en plej multaj transdonoj kaj signifas du malsamajn aferojn. La antaŭe kunhavigita ŝlosilo aŭtentikigas la samtavolanon mem, kaj ĝi estas maŝina sekreto, kiun la administranto legas el la enireja agordo. La pasvorto de via konto estas aparta akreditaĵo, kiu pruvas, kiu homo staras malantaŭ tiu samtavolano.

La aliaj du valoroj estas pli facile preteratentataj. La grupa identigilo estas la signoĉeno, kiun la asistanto skribis en la IPsec-grupan objekton, kaj 0 estas laŭleĝa valoro, ne malplena kampo. La propono kovras ĉifradon, haketadon kaj Diffie-Hellman-grupon por ĉiu fazo, plus la PFS-agordon, kaj ĉiu ero en ĝi devas kongrui kun la enirejo. Kiam konekto malsukcesas ĉe fazo 1, preskaŭ ĉiam unu el tiuj kvar estas la kaŭzo, do skribu ilin aparte anstataŭ ĵeti ilin en unu dialogon.

Kion ĉiu vpnc-kampo devas enhavi

Instalu la klienton kune kun la redaktila fasado, poste kreu VPNC-konekton:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Agordu la enirejon al la publika adreso de FortiGate, kaj la grupan nomon ĝuste al la identigilo de la enirejo, inkluzive de nuda nulo. Group password prenas la antaŭe kunhavigitan ŝlosilon, dum uzantnomo kaj pasvorto prenas vian konton, kun iu ajn ĵetono aldonita kiel la enirejo atendas. En la progresinta dialogo, elektu la Diffie-Hellman-grupon, kiun nomas la propono, akordigu PFS al la sama grupo, ŝaltu NAT-trapasadon kiam la kliento sidas malantaŭ hejma enkursigilo, kaj lasu la detekton de mortinta samtavolano sampaŝe kun la enirejo.

La grupa nomo estas la kampo, kiun oni preterlasas, ĉar ĝi ŝajnas laŭvola kaj la apriora nulo similas al anstataŭaĵo. Sendu ĝin malplena kaj la kliento transdonas alian identigilon ol tiun, kiun la enirejo validigas. Se la profilo ankoraŭ malsukcesas, komparu la progresintajn valorojn kun la funkcianta Windows-kliento anstataŭ kun forumafiŝo por alia retejo.

La sama profilo skribita por strongSwan

strongSwan estas la pli bona longtempa ujo por tiuj valoroj, ĉar la agordo estas tekstdosiero, kiun vi povas revizii kaj konservi:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Legu la proponajn liniojn antaŭ la bloko, ĉar la krisigno ĉe la fino ŝanĝas ilian signifon: ĝi fiksas tiun unun proponon kaj forigas la alternativojn, kiujn la kliento alie proponus. Enirejo agordita por unu transformparo malakceptos klienton, kiu malfermiĝas per listo, do la fiksado estas tio, kio igas traktadon kongruo. Prenu la precizajn algoritmo-nomojn el la funkcianta enireja profilo, kaj anstataŭigu la anstataŭaĵojn per viaj propraj valoroj.

La du aŭtentikigaj linioj ne estas superfluaj. La PSK pruvas la samtavolanon, la XAuth-bloko pruvas la uzanton, kaj forigi iun ajn lasas fazon, kiun la enirejo ne finos.

Legu la malsukceson antaŭ ol ŝanĝi alian kampon

Laboru malantaŭen de la simptomo anstataŭ hazardigi la dialogon denove. IKE SA, kiu leviĝas sen asignita adreso, signifas, ke la interŝanĝo de uzanta aŭtentikigo malsukcesis aŭ neniam funkciis, do kontrolu la konton kaj la traktadon de ĵetono. Fazo 1, kiu neniam finiĝas, montras al la propono, la grupa identigilo aŭ la agresa reĝimo, kaj ĉiu el tiuj estas komparata kun la enirejo, ne nur kun la Windows-kliento.

Tunelo, kiu establiĝas kaj poste mortas ĉiun kelkajn minutojn, estas malkonsento pri detekto de mortinta samtavolano inter la du finoj; akordigu la tempigilon de la enirejo anstataŭ malŝalti keepalive-ojn ĉie. Establita tunelo, kie oficejaj gastigantoj restas neatingeblaj, kutime signifas, ke la puŝita subreto neniam alvenis en la lokan enkursigan tabelon, kion triaparta kliento eble ne faras mem.

Redonu la funkciantajn valorojn al la enireja posedanto, kiam vi finos: protokolo, grupa identigilo, antaŭe kunhavigita ŝlosilo, propono, PFS kaj la DPD-decidaĵo. La sekva Linux-maŝino tiam bezonas minutojn anstataŭ vesperon, kaj neniu devas remalkovri, ke la grupa nomo estis nulo.