FortiGate IPsec op Linux: hokker klant ferbynt echt

Jo Windows-kollega ymportearret in FortiGate-tovenerprofyl en is yn in minút online. Jo ynstallearje itselde pakket fan de leveransier op Ubuntu, sykje in IPsec-ljep en fine in klant dy't allinnich in SSL VPN-portaal iepenje kin. De konklúzje dy't dêrop folget is meastentiids twa kear ferkeard: de gateway wiist jo net ôf, en de Linux-bou is net stikken. Fortinet leveret dy klant allinnich mei SSL VPN-stipe, dus in mobyl IPsec-profyl hat gjin plak om te wenjen en moat op 'e nij boud wurde earne dêr't IKEv1 sprutsen wurdt.

Beslis earst hokker protokol jo eins krigen hawwe

Dy weropbou is meganysk sadree't jo ophâlde de klant fan de leveransier as de referinsje-ymplemintaasje te beskôgjen.

FortiGate-apparaten publisearje sawol SSL VPN as IPsec, en de oerdrachtmail seit selden hokker oft jo krigen hawwe. In portaal-URL plus in oanmeldside yn browserstyl betsjut SSL VPN, en op Linux is it antwurd dêre openfortivpn, net de fjildmapping hjirûnder. In groepsidentifikaasje plus in foarôf dielde kaai betsjut mobyl IPsec, dat is wat vpnc en strongSwan oanpakke.

Dit ferkeard dwaan is de meast foarkommende reden dat in Linux-poging stjert foar't de earste faze klear is: de klant biedt IKEv1 oan in HTTPS-portaal of oarsom. Freegje de behearder om de namme fan it protokol op skrift foar't jo wat ynstallearje.

Fjouwer bewiisstikken reizgje yn fjouwer ferskillende fjilden

It wurd password komt yn 'e measte oerdrachten twa kear foar en betsjut twa ferskillende dingen. De foarôf dielde kaai autentisearret de peer sels, en it is in masinegeheim dat de behearder út 'e gateway-konfiguraasje lêst. Jo accountwachtwurd is in apart bewiisstik dat bewiist hokker minske efter dy peer stiet.

De oare twa wearden wurde makliker mist. De groepsidentifikaasje is de string dy't de tovenner yn it IPsec-groepobjekt skreau, en 0 is in legitime wearde en gjin leech fjild. It foarstel beslacht fersifering, hashing en in Diffie-Hellman-groep foar elke faze, plus de PFS-ynstelling, en elk item dêryn moat mei de gateway oerienkomme. As in ferbining yn faze 1 mislearret, is ien fan dy fjouwer hast altyd de skuldige, dus skriuw se apart op ynstee fan se yn ien dialooch te smiten.

Wat elk vpnc-fjild befetsje moat

Ynstallearje de klant tegearre mei de bewurker-frontend, en meitsje dan in VPNC-ferbining:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Set de gateway op it iepenbiere adres fan 'e FortiGate, en set de groepsnamme krekt op de identifikaasje fan 'e gateway, ynklusyf in neaken nul. Group password nimt de foarôf dielde kaai, wylst brûkersnamme en wachtwurd jo account nimme, mei elk token tafoege sa't de gateway ferwachtet. Yn 'e avansearre dialooch kiest jo de Diffie-Hellman-groep dy't it foarstel neamt, lykje PFS oan deselde groep, skeakelje NAT-traversal yn as de klant efter in thúsrouter sit, en lit de deteksje fan deade peer yn 'e pas mei de gateway.

De groepsnamme is it fjild dat oerslein wurdt, om't it opsjoneel liket en de standertwearde nul op in plakhâlder liket. Stjoer it leech en de klant stjoert in oare identifikaasje as dy't de gateway falidearret. As it profyl noch mislearret, fergelykje de avansearre wearden mei de wurkjende Windows-klant ynstee fan mei in forumberjocht foar in oare side.

Itselde profyl skreaun foar strongSwan

strongSwan is de bettere lange-termyn holder foar dizze wearden, om't de konfiguraasje in tekstbestân is dat jo besjen en bewarje kinne:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Lês de foarstelrigels foar it blok, om't it útropteken oan 'e ein har betsjutting feroaret: it fêstiget dat iene foarstel en ferwideret de alternativen dy't de klant oars biede soe. In gateway dy't foar ien transformaasjepaar konfigurearre is, sil in klant ôfwize dy't mei in list iepengiet, dus it fêstigjen is wat in ûnderhanneling yn in oerienkomst feroaret. Nim de krekte algoritmenammen út it wurkjende gateway-profyl, en ferfange de plakhâlders troch jo eigen wearden.

De twa autentikaasjerigels binne net oerstallich. De PSK bewiist de peer, it XAuth-blok bewiist de brûker, en it weilitten fan ien fan beide lit in faze efter dy't de gateway net ôfmeitsje sil.

Lês it mislearjen foar't jo noch in fjild feroarje

Wurkje efterút fan it symptoom ynstee fan de dialooch op 'e nij te randomisearjen. In IKE SA dy't omheech komt sûnder tawiisd adres betsjut dat de autentikaasje-útwikseling fan 'e brûker mislearre of nea rûn, dus kontrolearje it account en de tokenôfhanneling. In faze 1 dy't nea klear komt wiist op it foarstel, de groepsidentifikaasje of de agressive modus, en elk dêrfan wurdt mei de gateway fergelike, net allinnich mei de Windows-klant.

In tunnel dy't oprjochte wurdt en dan elke pear minuten stjert is in ûnienichheid oer deade-peer-deteksje tusken beide einen; lykje de timer fan 'e gateway ynstee fan keepalives oeral út te setten. In oprjochte tunnel wêr't kantoarhosts ûnberikber bliuwe betsjut meastentiids dat it treende subnet nea yn 'e lokale routingstabel kaam, wat in klant fan in tredde partij miskien net sels docht.

Jou de wurkjende wearden werom oan 'e eigner fan 'e gateway as jo klear binne: protokol, groepsidentifikaasje, foarôf dielde kaai, foarstel, PFS en de DPD-beslissing. Dan kostet de folgjende Linux-masine minuten ynstee fan in jûn, en hoecht nimmen op 'e nij te ûntdekken dat de groepsnamme nul wie.