FortiGate IPsec Linuxen: zein bezero konektatzen den benetan

Zure Windows-eko lankideak FortiGate morroiaren profila inportatzen du eta minutu batean linean dago. Zuk Ubuntu-n hornitzailearen pakete bera instalatzen duzu, IPsec fitxa bilatzen duzu eta soilik SSL VPN atari bat irekitzen dakien bezero bat aurkitzen duzu. Ondorioa, oro har, bi aldiz okerra izaten da: atebideak ez zaitu ukatzen, eta Linuxeko konpilazioa ez dago hondatuta. Fortinetek bezero hori SSL VPN euskarriarekin soilik bidaltzen du, beraz IPsec profil mugikorrak ez du bizitzeko tokirik eta IKEv1 hitz egiten den tokiren batean berreraiki behar da.

Lehenik, erabaki benetan zein protokolo eman zizuten

Berreraikuntza hori mekanikoa da hornitzailearen bezeroa erreferentziazko inplementaziotzat hartzeari uzten diozunean.

FortiGate gailuek SSL VPN eta IPsec argitaratzen dituzte, eta eskualdaketaren mezuak gutxitan esaten du zein eman zizuten. Atariaren URLa gehi nabigatzaile estiloko saio-hasiera orriak SSL VPN esan nahi du, eta Linuxen erantzuna openfortivpn da han, ez beheko eremu-mapa. Talde-identifikatzaileak gehi aurrez partekatutako gakoak IPsec mugikorra esan nahi du, eta hori da vpnc-ek eta strongSwanek kudeatzen dutena.

Hau oker egitea da Linuxeko saiakera bat lehen fasea amaitu aurretik hiltzeko arrazoi ohikoena: bezeroak IKEv1 eskaintzen dio HTTPS atari bati edo alderantziz. Eskatu administratzaileari protokoloaren izena idatziz ezer instalatu aurretik.

Lau kredentzial lau eremu ezberdinetan bidaiatzen dute

password hitza bi aldiz agertzen da eskualdaketa gehienetan eta bi gauza ezberdin esan nahi ditu. Aurrez partekatutako gakoak peer-a bera autentikatzen du, eta administratzaileak atariaren konfiguraziotik irakurtzen duen makina-sekretua da. Zure kontuaren pasahitza bereizitako kredentziala da, peer horren atzean zein pertsona dagoen frogatzen duena.

Beste bi balioak errazago pasatzen dira oharkabean. Talde-identifikatzailea morroiak IPsec talde objektuan idatzi zuen katea da, eta 0 balio zilegia da, ez eremu hutsa. Proposamenak fase bakoitzeko enkriptatzea, hash-a eta Diffie-Hellman talde bat biltzen ditu, PFS ezarpenaz gain, eta bertako elementu bakoitzak atariarekin bat egin behar du. Konexioak 1 fasean huts egiten duenean, ia beti lau horietako bat da erruduna, beraz, idatzi itzazu bereiz, elkarrizketa bakarrean bota beharrean.

Zer eduki behar du vpnc-ren eremu bakoitzak

Instalatu bezeroa editorearen interfazearekin batera, eta gero sortu VPNC konexio bat:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Ezarri ataria FortiGate-ren helbide publikoan, eta talde-izena zehazki ataritik datorren identifikatzailean, zero huts bat barne. Group password eremuak aurrez partekatutako gakoa hartzen du, eta erabiltzaile-izenak eta pasahitzak zure kontua, edozein token atariak espero duen moduan erantsita. Elkarrizketa aurreratuan, aukeratu proposamenak aipatzen duen Diffie-Hellman taldea, berdindu PFS talde berarekin, gaitu NAT zeharbidea bezeroa etxeko router baten atzean dagoenean, eta utzi peer hilaren detekzioa atariaren pauso berean.

Talde-izena saltatzen den eremua da, hautazkoa dirudielako eta zero lehenetsiak leku-marka baten antza duelako. Hutsik bidaltzen baduzu, bezeroak atariak baliozkotzen duen identifikatzailea ez den beste bat transmititzen du. Profilak huts egiten jarraitzen badu, alderatu balio aurreratuak funtzionatzen duen Windows bezeroarekin, eta ez beste gune baterako foro-mezu batekin.

Profil bera strongSwan-entzat idatzita

strongSwan balio horien epe luzerako edukiontzi hobea da, konfigurazioa berrikusi eta gorde dezakezun testu fitxategia baita:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Irakurri proposamenaren lerroak blokearen aurretik, amaierako harridura-markak haien esanahia aldatzen baitu: proposamen bakar hori finkatzen du eta bezeroak bestela eskainiko lituzkeen alternatibak kentzen ditu. Transformazio pare bakarrerako konfiguratutako atari batek zerrendarekin irekitzen den bezero bat baztertuko du, beraz finkatzeak bihurtzen du negoziazioa bat-etortze. Hartu algoritmoen izen zehatzak funtzionatzen duen atariaren profiletik, eta ordeztu leku-markak zure balioekin.

Bi autentifikazio-lerroak ez dira soberan. PSK-k peer-a frogatzen du, XAuth blokeak erabiltzailea, eta bietako bat kentzeak atariak amaituko ez duen fase bat uzten du.

Irakurri hutsegitea beste eremu bat aldatu aurretik

Lan egin sintomatik atzera, elkarrizketa berriro ausaz jarri beharrean. Helbide esleitu gabe altxatzen den IKE SA batek erabiltzailearen autentifikazio-trukeak huts egin zuela edo inoiz exekutatu ez zela esan nahi du, beraz egiaztatu kontua eta tokenaren kudeaketa. Inoiz amaitzen ez den 1 fase batek proposamena, talde-identifikatzailea edo modu oldarkorra seinalatzen ditu, eta horietako bakoitza atariarekin alderatzen da, ez Windows bezeroarekin soilik.

Ezarri eta gero minutu gutxian behin hiltzen den tunel bat bi muturren arteko peer hilaren detekzioaren desadostasuna da; berdindu atariaren tenporizadorea keepalive-ak nonahi desaktibatu beharrean. Ezarritako tunel batean bulegoko ostalariak iristezin jarraitzen badute, normalean bultzatutako azpisareak ez zuela inoiz tokiko bideratze-taulara iritsi esan nahi du, eta hirugarrenen bezero batek agian ez du hori bere kabuz egiten.

Itzuli funtzionatzen duten balioak atariaren jabearengana amaitzean: protokoloa, talde-identifikatzailea, aurrez partekatutako gakoa, proposamena, PFS eta DPD erabakia. Hurrengo Linux makinak orduan minutu gutxi beharko ditu gau oso baten ordez, eta inork ez du berriro aurkitu beharko talde-izena zero zela.