FortiGate IPsec روی لینوکس: کدام کلاینت واقعاً وصل می‌شود

همکار ویندوزی شما یک نمایهٔ ویزارد FortiGate را وارد می‌کند و در یک دقیقه آنلاین است. شما همان بستهٔ فروشنده را روی Ubuntu نصب می‌کنید، به دنبال زبانهٔ IPsec می‌گردید و کلاینتی می‌یابید که فقط بلد است یک SSL VPN باز کند. نتیجه‌ای که معمولاً گرفته می‌شود دو بار غلط است: دروازه شما را رد نمی‌کند و ساخت لینوکس خراب نیست. Fortinet آن کلاینت را فقط با پشتیبانی SSL VPN عرضه می‌کند، پس نمایهٔ IPsec موبایل جایی برای زندگی ندارد و باید جایی که IKEv1 صحبت می‌شود دوباره ساخته شود.

نخست مشخص کنید واقعاً کدام پروتکل به شما داده شده است

این بازسازی زمانی مکانیکی است که کلاینت فروشنده را پیاده‌سازی مرجع ندانید.

دستگاه‌های FortiGate هم SSL VPN و هم IPsec را منتشر می‌کنند و ایمیل تحویل به‌ندرت می‌گوید کدام به شما داده شده است. نشانی URL دروازه به‌همراه صفحهٔ ورود به سبک مرورگر یعنی SSL VPN، و در لینوکس پاسخ آنجا openfortivpn است، نه نگاشت فیلدهای زیر. شناسهٔ گروه به‌همراه کلید از پیش اشتراکی یعنی IPsec موبایل، که vpnc و strongSwan از عهدهٔ آن برمی‌آیند.

اشتباه کردن در این مورد شایع‌ترین دلیل مرگ یک تلاش لینوکسی پیش از تکمیل فاز اول است: کلاینت به یک دروازهٔ HTTPS پیشنهاد IKEv1 می‌دهد یا برعکس. پیش از نصب هر چیزی، نام پروتکل را کتباً از مدیر بخواهید.

چهار اعتبارنامه در چهار فیلد مختلف سفر می‌کنند

واژهٔ password در بیشتر تحویل‌ها دو بار می‌آید و دو چیز متفاوت می‌گوید. کلید از پیش اشتراکی خودِ همتا را احراز می‌کند و رازی ماشینی است که مدیر آن را از پیکربندی دروازه می‌خواند. گذرواژهٔ حساب شما اعتبارنامه‌ای جداگانه است که ثابت می‌کند کدام انسان پشت آن همتا ایستاده است.

دو مقدار دیگر آسان‌تر از قلم می‌افتند. شناسهٔ گروه همان رشته‌ای است که ویزارد در شیء گروه IPsec نوشته است، و 0 یک مقدار مجاز است نه فیلد خالی. پیشنهاد برای هر فاز رمزنگاری، هش و یک گروه Diffie-Hellman به‌همراه تنظیم PFS را پوشش می‌دهد و هر قلم آن باید با دروازه هم‌خوان باشد. وقتی اتصالی در فاز 1 شکست می‌خورد، تقریباً همیشه یکی از این چهار مقصر است، پس آن‌ها را جداگانه بنویسید نه اینکه در یک گفتگو بریزید.

هر فیلد vpnc چه باید داشته باشد

کلاینت را همراه با رابط ویرایشگر نصب کنید، سپس یک اتصال VPNC بسازید:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

دروازه را روی نشانی عمومی FortiGate بگذارید و نام گروه را دقیقاً برابر شناسهٔ دروازه، از جمله یک صفر خالی. Group password کلید از پیش اشتراکی را می‌گیرد، و نام کاربری و گذرواژه حساب شما را، با هر توکنی که دروازه انتظار دارد ضمیمه‌شده. در گفتگوی پیشرفته، گروه Diffie-Hellman را که پیشنهاد نام می‌برد انتخاب کنید، PFS را با همان گروه هم‌تراز کنید، وقتی کلاینت پشت روتر خانگی است NAT traversal را فعال کنید و تشخیص همتای مرده را هم‌گام با دروازه بگذارید.

نام گروه همان فیلدی است که جا می‌افتد، چون اختیاری به نظر می‌رسد و مقدار پیش‌فرض صفر شبیه جای‌نگهدار است. آن را خالی بفرستید و کلاینت شناسه‌ای متفاوت از آنچه دروازه اعتبارسنجی می‌کند منتقل می‌کند. اگر نمایه باز هم شکست خورد، مقادیر پیشرفته را با کلاینت ویندوزیِ کارکننده بسنجید نه با نوشتهٔ انجمنی برای سایت دیگر.

همان نمایه نوشته‌شده برای strongSwan

strongSwan ظرف بلندمدت بهتری برای این مقادیر است، چون پیکربندی یک فایل متنی است که می‌توانید بازبینی و نگه دارید:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

پیش از بلوک، خطوط پیشنهاد را بخوانید، چون علامت تعجب پایانی معنای آن‌ها را تغییر می‌دهد: همان یک پیشنهاد را سنجاق می‌کند و جایگزین‌هایی را که کلاینت وگرنه عرضه می‌کرد حذف می‌کند. دروازه‌ای که برای یک جفت تبدیل پیکربندی شده، کلاینتی را که با یک فهرست باز می‌شود رد می‌کند، پس همان سنجاق است که مذاکره را به تطابق تبدیل می‌کند. نام‌های دقیق الگوریتم‌ها را از نمایهٔ دروازهٔ کارکننده بردارید و جای‌نگهدارها را با مقادیر خودتان عوض کنید.

دو خط احراز هویت زائد نیستند. PSK همتا را اثبات می‌کند، بلوک XAuth کاربر را، و حذف هرکدام فازی را باقی می‌گذارد که دروازه تمامش نمی‌کند.

پیش از تغییر فیلد دیگر، شکست را بخوانید

از نشانه به عقب کار کنید نه اینکه گفتگو را دوباره تصادفی کنید. یک IKE SA که بدون نشانی تخصیص‌یافته بالا می‌آید یعنی تبادل احراز هویت کاربر شکست خورده یا هرگز اجرا نشده، پس حساب و نحوهٔ برخورد با توکن را بررسی کنید. فاز 1 که هرگز کامل نمی‌شود به پیشنهاد، شناسهٔ گروه یا حالت تهاجمی اشاره دارد و هر یک از آن‌ها با دروازه سنجیده می‌شود، نه فقط با کلاینت ویندوز.

تونلی که برقرار می‌شود و بعد هر چند دقیقه می‌میرد، اختلاف در تشخیص همتای مرده میان دو سر است؛ تایمر دروازه را هم‌تراز کنید نه اینکه keepalive را همه‌جا خاموش کنید. تونل برقراری که میزبان‌های دفتر در آن دسترس‌ناپذیر می‌مانند معمولاً یعنی زیرشبکهٔ هل‌داده‌شده هرگز به جدول مسیریابی محلی نرسیده، کاری که یک کلاینت شخص ثالث ممکن است خودش انجام ندهد.

وقتی کارتان تمام شد مقادیر کارکننده را به مالک دروازه برگردانید: پروتکل، شناسهٔ گروه، کلید از پیش اشتراکی، پیشنهاد، PFS و تصمیم DPD. آن‌گاه ماشین لینوکس بعدی به‌جای یک شب، چند دقیقه می‌برد و هیچ‌کس لازم نیست دوباره کشف کند که نام گروه صفر بوده است.