Fortineti Linuxi klient: kontrollige lüüsi enne parandamist

Arhiveeritud juhend ütleb paigaldada 32-bitised teegid, lappida GTK-teema ja käivitada paigaldaja terminalist. Osa sellest nõuandest oli õige konkreetse kliendi väljalaske jaoks ja mitte miski sellest ei too tagasi tunnelirežiimi, mida lüüs enam ei paku. Enne paketi muutmist leidke esimene etapp, mis ebaõnnestus. See kulgeb lüüsist sissepoole, sest seal on vastused odavad ja vale kohalik parandus maksab kõige rohkem aega.

Kontroll 1: nimetage etapp, mis ebaõnnestus

Kolm etappi ebaõnnestuvad erinevalt. Programm ei käivitu, käivitub ja keeldub serveri identiteedist, või ühendub ja lüüsil pole sellist teenust, mida vajate. Iga ebaõnnestumine jätab oma tõendi: laaduri vea, sertifikaadi teate, lüüsi vastuse, mis nimetab kättesaamatut režiimi.

Kirjutage see üles enne, kui midagi puudutate. Kõik pärast seda punkti sõltub sellest, millise etapi nimetasite, ja neil kolmel parandusel pole midagi ühist.

Kontroll 2: lüüsi väljalase ja tunnelirežiim

Tunnelirežiim on praegustel lüüsidel kadunud ja FortiClient 7.4.4 Linuxi integreerimistabel on koht, kus see kirjas on: FortiOS 7.6.3 ja uuemad ei paku enam SSL VPN tunnelirežiimi ja suunavad administraatorid IPsecile. Hoidke toode, väljalase ja režiim selle lause küljes, kui seda kordate. See ei ütle midagi iga Fortineti toote kohta ega midagi veel olemasolevate veebipääsu funktsioonide kohta. Üldine versioonide ühilduvus ja ühe tunnelirežiimi kättesaadavus on eraldi kontrollid.

Küsige lüüsi omanikult kahte asja: millist väljalaset lüüs jooksutab ja millised juurdepääsumeetodid on täna lubatud. Küsige vastust kirjalikult, koos väljalaskestringi ja seadete lehe või konfiguratsioonireaga, kust see pärineb, sest just suuline kinnitus saadab inimesed tagasi arhiveeritud juhendi juurde. Seejärel kontrollige seda vastust lüüsi märkmete või tarnija maatriksi vastu täpselt selle väljalaske jaoks. Brauser, mis kuvab veebiportaali, tõestab, et portaal vastab, ja mitte rohkem.

Kontroll 3: kliendi väljaanne, mille omanik kinnitab

Hankige kinnitatud Linuxi kliendi väljaanne ja versioon, seejärel kontrollige toetatud operatsioonisüsteemi, arhitektuuri, töölauda ja autentimisvoogu. Maatriks 7.4.4 on versiooniga seotud näide, mitte soovitus uusima kliendi jaoks ja mitte lubadus iga tuletise kohta. Küsige, millist klienti omanik tegelikult toetab, sest see vastus on migratsiooni osa, mitte järelmõte. Klient, mis sureb enne, kui tema esimene pakett lüüsini jõuab, tõestab midagi sülearvuti kohta, mitte teenuse kohta.

32-bitised teegid ja laigitud teema muudavad seda, mida binaarfail laadida saab; need ei muuda seda, mida tarnija toetab. Kui operatsioonisüsteem või autentimisvoog jääb maatriksist välja, on kvalifitseerumise küsimus juba vastatud.

Kontroll 4: taotlege asendusprofiili

Kui organisatsioon liikus SSL VPN-i tunnelirežiimilt IPsecile, taotlege uut profiili ja registreerimisprotseduuri samas vestluses. Ärge nimetage SSL-konfiguratsiooni ümber ega eeldage, et väljad kanduvad üle: IPsec-profiil nimetab IKE versiooni, kauglüüsi ja selle identiteedi, autentimismeetodi ning liiklusvalijad, mida kumbki pool aktsepteerib. Ka konto- ja seadmepoliitikat võidakse rakendada teisiti. Ümbernimetamine loob kliendi, mis näeb konfigureeritud välja ja ei läbiräägi mitte midagi.

Lugege profiili enne, kui seda usaldate. See peaks näitama IKE versiooni ja ettepanekud, kas autentimine kasutab sertifikaati või eeljagatud võtit, millised kohalikud ja kauged alamvõrgud on valitud ja mida lüüs oma identiteedina ootab. Kinnitage, et kinnitatud Linuxi klient seda korraldust toetab, sest migratsioonidokument ei ole funktsioonide võrdsuse kinnitus iga kliendi väljalaske kohta. Sõltumatu klient nagu openfortivpn ei ole OpenVPN-i tõlk, seega käsitlege kõike muud, mille nimes on SSL, kinnitamata, kuni omanik ütleb selle režiimi, selle sisselogimisvoo ja selle seadmepoliitika jaoks teisiti.

Kontroll 5: kohalikud sõltuvused, seejärel valideerige ja kirjutage üles

Kui lüüs ja klient on selgeks saanud, on käivitustõrge pakendamise probleem ja hooldatava paketi enda juhised on viide, mida järgida. TLS-i identiteeditõrge kuulub operaatorile: usaldusankrud ja oodatud nimi on tema konfiguratsioon, mitte midagi, mida kohapeal mööda minna. Need on kaks etappi, kus arhiveeritud juhend kunagi kasulik oli.

Kumbagi ei lahenda tundmatu sertifikaadi aktsepteerimine ega asendikontrolli väljalülitamine. Hoidke MFA ja seadmekontrollid paigas, sest nende nõrgendamisega ühenduvuse taastamine vahetab katkestuse juhtumiks. Kui režiim on kadunud, ei too ükski kohalik lipp seda tagasi.

Pärast kinnitatud muudatust jõudke kavandatud privaatse ressursini, kinnitage DNS-i lahendamine ja ühenduge korra uuesti. Kirjutage klient, platvorm, lüüsi väljalase ja tunnelirežiim koos üles, sest järgmisel inimesel on vaja kõiki nelja. Programm, mis avaneb edukalt, on läbinud kohaliku käivitusetapi ja mitte midagi muud.