Sobita Linuxi VPN-klient vana seadme protokolliga

Neli protokollipere katavad peaaegu iga seadme, mis veel riiulis seisab, ja igaüks neist ebaõnnestub Linuxis erinevalt. Kaugema otsa avaldatud pordid ja seadistatud pakkumised määravad sinu paketi, mitte distributsioon, mida juhtumisi jooksutad. Paigaldada see, mida foorumipostitus mainib, ja siis redigeerida, kuni miski ühendub, on viis, kuidas üks pärastlõuna kaob. Loe seade läbi, paigalda teiseks, kontrolli kolmandaks.

Pane kirja, mida kaugem ots avaldab

Kirjuta üles protokoll, pordid ja autentimine, mida seade ootab, enne kui paketihalduri avad. Neli perekonda katavad suurema osa vanast riistvarast, ja allolev tabel on kogu otsus ühel ekraanil.

Käsiraamat ja seadme enda tulemüürireeglid on usaldusväärsemad kui protokolli nimi selle sisselogimislehel. IPsec-i reklaamiv seade võib rääkida ainult IKEv1-te, ja püsivara väljalase, mida keegi ei paigaldanud, võib olla see, mis lõpuks IKEv2 lisab. Kinnita nii andmetee kui ka seadistusport, sest just seal lähevad vana riistvara ja kaasaegsed võrgud lahku. Selles etapis eksimine tähendab kliendi silumist funktsiooni vastu, mida teisel poolel kunagi polnud.

PPTP: tõesta GRE enne, kui pppd-d redigeerid

PPTP Linuxis ei ole deemon, mille käivitad, vaid pppd väljakutse, ja ühenduse parameetrid elavad nimega peer-failis, mida pppd kutsumisel loeb. Distributsioonid pakendavad seda endiselt, kuigi protokolli tuntud nõrkused muudavad selle kõige tundliku jaoks sobimatuks, nii et hoia seda rangelt seadme jaoks, mis ei paku midagi muud. Jälgi GRE-d, kui klient läbirääkimisi peab, lühikese salvestisega, mitte oletusega. Kõige rohkem aega raiskav tõrge ei ole autentimine, vaid puuduv andmetee.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Kui seadistus lõpeb ja link ei kanna kunagi liiklust, kahtlusta GRE teed enne mandaatide puutumist. Pilve turbegrupid vajavad protokollile 47 selgesõnalist reeglit, ja mõned võrgud blokeerivad selle täielikult ilma nähtava veata. Testi võrgust, mida tegelikult kasutad, mitte laborist, mis lubab kõike.

L2TP/IPsec: üks sobiv pakkumine võidab kümme katset

Loe deemonilogi, mitte töölaua dialoogi, sest dialoog koondab mitu erinevat tõrget üheks sõnumiks. Viga NO_PROPOSAL_CHOSEN kuulub esimesse faasi: klient pakkus krüpteerimist, räsi või Diffie-Hellmani gruppi, mida server ei aktsepteeri. Loetle, mida seade toetab, ja kirjuta üks sobiv pakkumine, sest juhuslikud kombinatsioonid annavad enamasti sama vea aeglasemalt. Töölaual on praktiline klient NetworkManager L2TP pistikprogramm, mille all on strongSwan või Libreswan.

Pakkumise string, mis töölaua pistikprogrammi jaoks tähendab üht, võib deemonile, kellele see töö üle annab, tähendada midagi muud, nii et hoia süntaks redigeeritavale kihile sobiv. Kui seade nõuab ka tunnelisaladust, on see IPsec-võtmest eraldi etapp. Kinnita, millist neist liides küsib, enne kui sinna midagi tipid.

Agressiivne IKEv1 koos XAuthiga ja portali juhtum

FortiGate-tüüpi lõpp-punkt tahab tavaliselt agressiivset režiimi XAuthiga ja seadistatud režiimi aadressi, mida graafiline pistikprogramm ei pruugi üldse näidata. Päris deemon saab sellega hakkama, ja allolev plokk on selle seadistuse kuju, mitte täielik fail. Pakkumise väärtuste kohta vaata tootja värsket dokumentatsiooni.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Vanemad strongSwani väljalasked kasutasid xauth=client, kus versioon 5 kasutab leftauth2=xauth, nii et kopeeritud katkend võib ainult süntaksi tõttu ebaõnnestuda. TLS-portaali jaoks saab openconnect, mis räägib AnyConnecti protokolli, hakkama Ciscoga ja enamiku ümbernimetatud brändidega, ning see vajab TUN-seadet ja õigusi selle seadistamiseks. Anna portaali aadress täpselt nii, nagu brauser seda näitab, kaasa arvatud mis tahes tee, mida seade ootab, seejärel kontrolli määratud aadressi enne, kui midagi selle taga testid. Liidese eelnev loomine eemaldab ühe üllatuste klassi seadistamise ajal.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Ühenda, seejärel kontrolli kindlas järjekorras

Käivita korraga täpselt üks VPN-haldur, sest NetworkManageri profiil ja käsitsi käivitatud deemon võitlevad marsruutide ja DNS-i pärast. Langeta profiil enne käsitsi ühenduse testimist ja kinnita, et ükski vana tunneliliides ei ole ellu jäänud. Seejärel kontrolli selles järjekorras: tunneli aadress, marsruut ainsale sisemisele hostile, mida vajad, nimede lahendamine ja lõpuks tegelik päring. Roheline ikoon tõestab autentimist ja mitte midagi muud.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Kui mõni samm ebaõnnestub, peatu seal, selle asemel et järgmist testida, sest katkise marsruudi allavoolu jääv DNS-i tõrge ei õpeta sulle midagi. Enne katsetamist salvesta töötava profiili koopia, sest kustutatud ühendusfail on kergesti kaotsi minev ja tüütu taastada. Hoia pakkumise väärtused samas märkmes seadme mudeli ja püsivara versiooniga, sest see märge on erinevus migratsiooni ja arheoloogiaprojekti vahel, kui kast välja vahetatakse.