FortiGate IPsec Linuxissa: mikä asiakasohjelma todella yhdistää

Windows-kollegasi tuo FortiGate-velhon profiilin ja on verkossa minuutissa. Sinä asennat saman toimittajan paketin Ubuntuun, etsit IPsec-välilehteä ja löydät asiakasohjelman, joka osaa avata vain SSL VPN-portaalin. Seurauksena oleva johtopäätös on yleensä kahdesti väärä: yhdyskäytävä ei hylkää sinua, eikä Linuxin koontiversio ole rikki. Fortinet toimittaa tuon asiakasohjelman vain SSL VPN -tuella, joten mobiililla IPsec-profiililla ei ole paikkaa ja se on rakennettava uudelleen jossain, missä puhutaan IKEv1:tä.

Selvitä ensin, mikä protokolla sinulle oikeastaan annettiin

Tuo uudelleenrakennus on mekaaninen, kun lopetat toimittajan asiakasohjelman pitämisen vertailutoteutuksena.

FortiGate-laitteet julkaisevat sekä SSL VPN:n että IPsecin, ja luovutussähköposti kertoo harvoin, kumpi sinulle myönnettiin. Portaalin URL ja selaintyylinen kirjautumissivu tarkoittavat SSL VPN:ää, ja Linuxissa vastaus siellä on openfortivpn, ei alla oleva kenttien kartoitus. Ryhmätunniste ja ennalta jaettu avain tarkoittavat mobiilia IPseciä, jota vpnc ja strongSwan hoitavat.

Tämän väärin tekeminen on yleisin syy siihen, että Linux-yritys kuolee ennen ensimmäisen vaiheen valmistumista: asiakasohjelma tarjoaa IKEv1:tä HTTPS-portaalille tai päinvastoin. Pyydä järjestelmänvalvojalta protokollan nimi kirjallisesti ennen kuin asennat mitään.

Neljä tunnistetietoa matkustaa neljässä eri kentässä

Sana password esiintyy useimmissa luovutuksissa kahdesti ja tarkoittaa kahta eri asiaa. Ennalta jaettu avain todentaa vertaisen itsensä, ja se on konesalaisuus, jonka järjestelmänvalvoja lukee yhdyskäytävän kokoonpanosta. Tilisi salasana on erillinen tunnistetieto, joka todistaa, kuka ihminen on tuon vertaisen takana.

Kaksi muuta arvoa jäävät helpommin huomaamatta. Ryhmätunniste on merkkijono, jonka velho kirjoitti IPsec-ryhmäobjektiin, ja 0 on laillinen arvo, ei tyhjä kenttä. Ehdotus kattaa salauksen, tiivistyksen ja Diffie-Hellman-ryhmän jokaista vaihetta kohden sekä PFS-asetuksen, ja jokaisen sen kohdan on vastattava yhdyskäytävää. Kun yhteys epäonnistuu vaiheessa 1, syyllinen on lähes aina yksi noista neljästä, joten kirjoita ne erikseen sen sijaan että työntäisit ne yhteen valintaikkunaan.

Mitä kunkin vpnc-kentän on sisällettävä

Asenna asiakasohjelma yhdessä editorin käyttöliittymän kanssa ja luo sitten VPNC-yhteys:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Aseta yhdyskäytäväksi FortiGaten julkinen osoite ja ryhmän nimeksi täsmälleen yhdyskäytävän tunniste, mukaan lukien paljas nolla. Group password ottaa ennalta jaetun avaimen, kun taas käyttäjänimi ja salasana ottavat tilisi, ja mahdollinen token liitetään niin kuin yhdyskäytävä odottaa. Lisäasetusten valintaikkunassa valitse Diffie-Hellman-ryhmä, jonka ehdotus nimeää, sovita PFS samaan ryhmään, ota NAT-läpäisy käyttöön, kun asiakasohjelma on kotireitittimen takana, ja pidä kuolleen vertaisen tunnistus yhdyskäytävän tahdissa.

Ryhmän nimi on kenttä, joka ohitetaan, koska se näyttää valinnaiselta ja oletusarvo nolla muistuttaa paikanvaraajaa. Lähetä se tyhjänä, niin asiakasohjelma välittää eri tunnisteen kuin se, jonka yhdyskäytävä vahvistaa. Jos profiili yhä epäonnistuu, vertaa lisäasetusten arvoja toimivaan Windows-asiakasohjelmaan eikä toisen sivuston foorumiviestiin.

Sama profiili strongSwanille kirjoitettuna

strongSwan on näille arvoille parempi pitkäaikainen säiliö, koska kokoonpano on tekstitiedosto, jonka voit tarkistaa ja säilyttää:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Lue ehdotuksen rivit ennen lohkoa, sillä lopun huutomerkki muuttaa niiden merkityksen: se kiinnittää juuri tuon yhden ehdotuksen ja poistaa vaihtoehdot, joita asiakasohjelma muuten tarjoaisi. Yhdelle muunnosparille määritetty yhdyskäytävä hylkää asiakasohjelman, joka avautuu listalla, joten kiinnitys on se, mikä muuttaa neuvottelun täsmäämiseksi. Ota tarkat algoritmien nimet toimivasta yhdyskäytävän profiilista ja korvaa paikanvaraajat omilla arvoillasi.

Kaksi todennusriviä ei ole tarpeeton. PSK todistaa vertaisen, XAuth-lohko käyttäjän, ja jommankumman pois jättäminen jättää vaiheen, jota yhdyskäytävä ei viimeistele.

Lue vika ennen kuin muutat vielä yhtä kenttää

Työskentele oireesta taaksepäin sen sijaan että satunnaistaisit valintaikkunan uudelleen. IKE SA, joka nousee ilman osoitettua osoitetta, tarkoittaa, että käyttäjän todennusvaihto epäonnistui tai ei koskaan käynnistynyt, joten tarkista tili ja tokenin käsittely. Vaihe 1, joka ei koskaan valmistu, viittaa ehdotukseen, ryhmätunnisteeseen tai aggressiiviseen tilaan, ja jokaista niistä verrataan yhdyskäytävään, ei vain Windows-asiakasohjelmaan.

Tunneli, joka muodostuu ja kuolee sitten muutaman minuutin välein, on kahden pään erimielisyys kuolleen vertaisen tunnistuksesta; sovita yhdyskäytävän ajastin sen sijaan että kytkisit keepalivet pois kaikkialta. Muodostettu tunneli, jossa toimiston isännät jäävät tavoittamattomiksi, tarkoittaa yleensä, että työnnetty aliverkko ei koskaan päätynyt paikalliseen reititystauluun, mitä kolmannen osapuolen asiakasohjelma ei ehkä tee itse.

Palauta toimivat arvot yhdyskäytävän omistajalle lopuksi: protokolla, ryhmätunniste, ennalta jaettu avain, ehdotus, PFS ja DPD-päätös. Seuraava Linux-kone vie silloin minuutteja illan sijaan, eikä kenenkään tarvitse löytää uudelleen, että ryhmän nimi oli nolla.