FortiGate IPsec Linuxis: milline klient tegelikult ühendub

Linuxi tarnija klient räägib ainult SSL VPN-i. Mobiilne IPsec-profiil tuleb vpnc-s või strongSwanis uuesti üles ehitada ja neli välja peavad lüüsiga kokku sobima.

Sinu Windowsi kolleeg impordib FortiGate'i viisardi profiili ja on minutiga võrgus. Sina paigaldad Ubuntu'sse sama tarnija paketi, otsid IPsec-vahekaarti ja leiad kliendi, mis oskab avada ainult SSL VPN portaali. Järeldus, mis sellest järgneb, on tavaliselt kaks korda vale: lüüs ei keeldu sinust ja Linuxi ehitus ei ole katki. Fortinet tarnib seda klienti ainult SSL VPN-i toega, seega mobiilsel IPsec-profiilil pole kohta ja see tuleb uuesti üles ehitada kusagil, kus räägitakse IKEv1-te.

Kõigepealt otsusta, millise protokolli sa tegelikult said

See ümberehitus on mehaaniline, kui lõpetad tarnija kliendi käsitlemise võrdlusrakendusena.

FortiGate'i seadmed avaldavad nii SSL VPN-i kui ka IPsec-it ja üleandmise e-kiri ütleb harva, milline sulle anti. Pordi URL pluss brauseristiilis sisselogimisleht tähendab SSL VPN-i ja Linuxis on vastus seal openfortivpn, mitte allolev väljade vastendus. Grupi identifikaator pluss eeljagatud võti tähendab mobiilset IPsec-it, millega saavad hakkama vpnc ja strongSwan.

Sellega eksimine on kõige tavalisem põhjus, miks Linuxi katse sureb enne esimese faasi lõppu: klient pakub HTTPS-portaalile IKEv1-te või vastupidi. Küsi administraatorilt protokolli nime kirjalikult enne, kui midagi paigaldad.

Neli mandaati rändavad neljas erinevas väljas

Sõna password esineb enamikus üleandmistes kaks korda ja tähendab kahte erinevat asja. Eeljagatud võti autentib peer'i ennast ja see on masinasaladus, mille administraator loeb lüüsi konfiguratsioonist. Sinu konto parool on eraldi mandaat, mis tõestab, milline inimene selle peer'i taga on.

Ülejäänud kahte väärtust on kergem märkamata jätta. Grupi identifikaator on string, mille viisard kirjutas IPsec-grupi objektile, ja 0 on seaduslik väärtus, mitte tühi väli. Ettepanek katab krüpteerimise, räsimise ja Diffie-Hellmani grupi iga faasi jaoks, pluss PFS-i seade, ja iga selle üksus peab lüüsiga kokku sobima. Kui ühendus ebaõnnestub faasis 1, on peaaegu alati süüdi üks neist neljast, seega kirjuta need eraldi üles, selle asemel et need ühte dialoogi visata.

Mida peab iga vpnc väli sisaldama

Paigalda klient koos redaktori liidesega ja seejärel loo VPNC-ühendus:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Sea lüüs FortiGate'i avalikule aadressile ja grupi nimi täpselt lüüsilt saadud identifikaatorile, sealhulgas paljas null. Group password võtab eeljagatud võtme, samas kui kasutajanimi ja parool võtavad sinu konto, kusjuures mis tahes token on lisatud nii, nagu lüüs ootab. Laiendatud dialoogis vali Diffie-Hellmani grupp, mille ettepanek nimetab, sobitage PFS sama grupiga, luba NAT-i läbimine, kui klient on koduruuteri taga, ja jäta surnud peer'i tuvastus lüüsiga samasse takti.

Grupi nimi on väli, mis jäetakse vahele, sest see tundub valikuline ja vaikeväärtus null meenutab kohatäitjat. Saada see tühjalt ja klient edastab teistsuguse identifikaatori kui see, mida lüüs valideerib. Kui profiil ikka ei tööta, võrdle laiendatud väärtusi töötava Windowsi kliendiga, mitte mõne teise saidi foorumipostitusega.

Sama profiil strongSwanile kirjutatud

strongSwan on nende väärtuste jaoks parem pikaajaline konteiner, kuna konfiguratsioon on tekstifail, mida saad üle vaadata ja alles hoida:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Loe ettepaneku ridu enne plokki, sest lõpus olev hüüumärk muudab nende tähendust: see kinnistab täpselt selle ühe ettepaneku ja eemaldab alternatiivid, mida klient muidu pakkuks. Üheks teisenduspaariks konfigureeritud lüüs keeldub kliendist, mis avaneb loendiga, seega kinnistamine on see, mis muudab läbirääkimise kokkulangevuseks. Võta täpsed algoritmide nimed töötavast lüüsi profiilist ja asenda kohatäitjad oma väärtustega.

Kaks autentimisrida ei ole üleliigsed. PSK tõestab peer'i, XAuth-plokk tõestab kasutajat, ja kummagi ärajätmine jätab faasi, mida lüüs ei lõpeta.

Loe riket enne, kui muudad veel üht välja

Tööta sümptomist tagasi, selle asemel et dialoogi uuesti juhuslikuks muuta. IKE SA, mis tõuseb ilma määratud aadressita, tähendab, et kasutaja autentimise vahetus ebaõnnestus või ei käivitunud kunagi, seega kontrolli kontot ja tokeni käsitlemist. Faas 1, mis ei lõpe kunagi, viitab ettepanekule, grupi identifikaatorile või agressiivsele režiimile, ja igaüht neist võrreldakse lüüsiga, mitte ainult Windowsi kliendiga.

Tunnel, mis luuakse ja sureb siis iga paari minuti tagant, on surnud peer'i tuvastuse lahkarvamus kahe otsa vahel; sobitage lüüsi taimeriga, selle asemel et keepalive'id kõikjal välja lülitada. Loodud tunnel, kus kontori hostid jäävad kättesaamatuks, tähendab tavaliselt, et lükatud alamvõrk ei jõudnud kunagi kohalikku marsruutimistabelisse, mida kolmanda osapoole klient ei pruugi ise teha.

Anna töötavad väärtused lõpetamisel lüüsi omanikule tagasi: protokoll, grupi identifikaator, eeljagatud võti, ettepanek, PFS ja DPD otsus. Järgmine Linuxi masin võtab siis minuteid õhtu asemel ja keegi ei pea uuesti avastama, et grupi nimi oli null.

Seotud artiklid