Fortinet Linux -asiakasohjelma: tarkista yhdyskäytävä ennen korjaamista

Arkistoitu opas kehottaa asentamaan 32-bittiset kirjastot, paikkaamaan GTK-teeman ja suorittamaan asentimen päätteestä. Osa tästä ohjeesta oli oikein tietylle asiakasohjelman julkaisulle, eikä mikään siitä palauta tunnelitilaa, jota yhdyskäytävä ei enää tarjoa. Ennen kuin muutat pakettia, etsi ensimmäinen vaihe, joka epäonnistui. Tämä etenee yhdyskäytävästä sisäänpäin, koska siellä vastaukset ovat halpoja ja väärä paikallinen korjaus maksaa eniten aikaa.

Tarkistus 1: nimeä vaihe, joka epäonnistui

Kolme vaihetta epäonnistuu eri tavoin. Ohjelma ei käynnisty, se käynnistyy ja hylkää palvelimen identiteetin, tai se yhdistää eikä yhdyskäytävällä ole tarvitsemaasi palvelua. Jokainen epäonnistuminen jättää oman todisteensa: latausohjelman virheen, varmenneviestin, yhdyskäytävän vastauksen, joka nimeää käyttökelvottoman tilan.

Kirjoita se muistiin ennen kuin kosket mihinkään. Kaikki tämän pisteen jälkeen riippuu siitä, minkä vaiheen nimesit, eikä kolmella korjauksella ole mitään yhteistä.

Tarkistus 2: yhdyskäytävän julkaisu ja tunnelitila

Tunnelitila on poistunut nykyisistä yhdyskäytävistä, ja FortiClient 7.4.4:n Linux-integraatiotaulukko on paikka, johon se on kirjattu: FortiOS 7.6.3 ja uudemmat eivät enää tarjoa SSL VPN-tunnelitilaa ja ohjaavat ylläpitäjät IPseciin. Pidä tuote, julkaisu ja tila kiinni siinä lauseessa, kun toistat sen. Se ei kerro mitään jokaisesta Fortinet-tuotteesta eikä mitään verkkokäyttöominaisuuksista, joita yhä on. Yleinen versioyhteensopivuus ja yhden tunnelitilan saatavuus ovat erillisiä tarkistuksia.

Kysy yhdyskäytävän omistajalta kaksi asiaa: mitä julkaisua yhdyskäytävä ajaa ja mitkä käyttötavat ovat tänään käytössä. Pyydä vastaus kirjallisesti, julkaisumerkkijonon ja sen asetussivun tai kokoonpanorivin kanssa, josta se tuli, koska juuri suullinen vakuuttelu lähettää ihmiset takaisin arkistoituun oppaaseen. Tarkista sitten vastaus yhdyskäytävän muistiinpanoista tai toimittajan matriisista juuri sille julkaisulle. Selain, joka näyttää verkkoportaalin, todistaa että portaali vastaa, ei mitään muuta.

Tarkistus 3: asiakasohjelman painos, jonka omistaja hyväksyy

Hanki hyväksytty Linux-asiakasohjelman painos ja versio ja tarkista sitten tuettu käyttöjärjestelmä, arkkitehtuuri, työpöytä ja todennusketju. Matriisi 7.4.4 on versiosidonnainen esimerkki, ei suositus uusimmalle asiakasohjelmalle eikä lupaus jokaiselle johdannaiselle. Kysy, mitä asiakasohjelmaa omistaja todella tukee, koska se vastaus on osa migraatiota eikä jälkikäteen mietitty asia. Asiakasohjelma, joka kuolee ennen kuin sen ensimmäinen paketti saavuttaa yhdyskäytävän, todistaa jotain kannettavasta tietokoneesta, ei palvelusta.

32-bittiset kirjastot ja paikattu teema muuttavat sitä, mitä binaari voi ladata; ne eivät muuta sitä, mitä toimittaja tukee. Jos käyttöjärjestelmä tai todennusketju on matriisin ulkopuolella, kelpoisuuskysymys on jo vastattu.

Tarkistus 4: pyydä korvaava profiili

Jos organisaatio siirtyi SSL VPN -tunnelitilasta IPseciin, pyydä uusi profiili ja rekisteröintimenettely samassa keskustelussa. Älä nimeä SSL-kokoonpanoa uudelleen ja oleta, että kentät siirtyvät: IPsec-profiili nimeää IKE-version, etäyhdyskäytävän ja sen identiteetin, todennusmenetelmän sekä liikenteen valitsimet, jotka kumpikin puoli hyväksyy. Myös tili- ja laitekäytäntö voidaan panna täytäntöön eri tavalla. Uudelleennimeäminen tuottaa asiakasohjelman, joka näyttää määritellyltä eikä neuvottele mitään.

Lue profiili ennen kuin luotat siihen. Siinä pitäisi kertoa IKE-versio ja ehdotukset, käyttääkö todennus varmennetta vai ennalta jaettua avainta, mitkä paikalliset ja etäiset aliverkot on valittu ja mitä yhdyskäytävä odottaa identiteetikseen. Vahvista, että hyväksytty Linux-asiakasohjelma tukee tätä järjestelyä, koska migraatioasiakirja ei ole ominaisuuksien vastaavuusselvitys jokaiselle asiakasohjelman julkaisulle. Itsenäinen asiakasohjelma kuten openfortivpn ei ole OpenVPN-tulkki, joten käsittele kaikkea muuta, jonka nimessä on SSL, hyväksymättömänä, kunnes omistaja sanoo toisin tämän tilan, tämän kirjautumisketjun ja tämän laitekäytännön osalta.

Tarkistus 5: paikalliset riippuvuudet, sitten validoi ja kirjaa

Kun yhdyskäytävä ja asiakasohjelma on selvitetty, käynnistysvirhe on paketointiongelma, ja ylläpidetyn paketin omat ohjeet ovat noudatettava viite. TLS-identiteettivirhe kuuluu operaattorille: luottamusankkurit ja odotettu nimi ovat hänen kokoonpanonsa, ei jotain, mitä kierretään paikallisesti. Ne ovat ne kaksi vaihetta, joissa arkistoidusta oppaasta oli koskaan hyötyä.

Kumpaakaan ei ratkaista hyväksymällä tuntematon varmenne tai kytkemällä tilantarkistus pois päältä. Pidä MFA- ja laitetarkistukset paikallaan, koska yhteyden palauttaminen niitä heikentämällä vaihtaa katkoksen tapaukseksi. Jos tila on poistunut, mikään paikallinen lippu ei tuo sitä takaisin.

Hyväksytyn muutoksen jälkeen saavuta aiottu yksityinen resurssi, vahvista DNS-selvitys ja yhdistä kerran uudelleen. Kirjaa asiakasohjelma, alusta, yhdyskäytävän julkaisu ja tunnelitila yhteen, koska seuraava henkilö tarvitsee kaikki neljä. Ohjelma, joka avautuu onnistuneesti, on läpäissyt paikallisen käynnistysvaiheen, eikä mitään muuta.