Pas de Linux VPN-klant oan by it protokol fan it âlde apparaat

Fjouwer protokolfamyljes beslaan hast elk apparaat dat noch yn in rek stiet, en elk fan harren mislearret oars op Linux. De publisearre poarten en konfigurearre foarstellen fan 'e fiere kant bepale jo pakket, net de distribúsje dy't jo tafallich draaie. Ynstallearje wat in forumberjocht neamt en dan bewurkje oant der wat ferbynt, is hoe't in middei ferdwynt. Lês it apparaat, ynstallearje twadde, ferifiearje tredde.

Skriuw op wat de fiere kant publisearret

Skriuw it protokol, de poarten en de autentikaasje op dy't it apparaat ferwachtet foardat jo in pakketbehearder iepenje. Fjouwer famyljes beslaan it measte âlde apparatuer, en de tabel hjirûnder is de hiele beslissing op ien skerm.

De hânlieding en de eigen firewallregels fan it apparaat binne betrouberder as de protokolnamme op syn oanmeldside. In apparaat dat IPsec advertearret, praat miskien allinnich IKEv1, en in firmwareferzje dy't nimmen tapast hat, is miskien wat úteinlik IKEv2 taheakket. Befêstigje it datapaad likegoed as de opsetpoarte, want dêr ferskille âlde apparatuer en moderne netwurken. Dizze stap ferkeard dwaan betsjut jo klant debugge tsjin in funksje dy't de oare kant nea hie.

PPTP: bewiis GRE foardat jo pppd bewurkje

PPTP op Linux is gjin daemon dy't jo starte, mar in pppd-oprop, en de ferbiningsparameters libje yn in neamd peer-bestân dat pppd lêst as er oproppen wurdt. Distribúsjes pakkearje it noch altyd, hoewol de bekende swakheden fan it protokol it ûngeskikt meitsje foar alles gefoelichs, dus hâld it strikt foar in apparaat dat neat oars biedt. Hâld GRE yn 'e gaten wylst de klant ûnderhannelt, mei in koarte opname ynstee fan in gissing. De mislearring dy't de measte tiid fergriemt is net de autentikaasje, mar it ûntbrekkende datapaad.

pppd call branch-office
tcpdump -ni any proto gre -c 5

As de opset foltôge is en de ferbining nea ferkear draacht, fertinkje dan it GRE-paad foardat jo oanmeldgegevens oanreitsje. Cloud-feiligensgroepen hawwe in eksplisite regel foar protokol 47 nedich, en guon netwurken blokkearje it folslein sûnder sichtbere flater. Test fan it netwurk dat jo echt brûke sille, net fan in laboratoarium dat alles tastiet.

L2TP/IPsec: ien passend foarstel ferslacht tsien besykjen

Lês it daemonlog ynstee fan 'e buroblêd-dialooch, want de dialooch foegt ferskate ûnderskate mislearrings ta ien berjocht. In NO_PROPOSAL_CHOSEN-flater heart by faze ien: de klant bea in fersifering, hash of Diffie-Hellman-groep oan dy't de tsjinner net akseptearret. List op wat it apparaat stipet en skriuw ien foarstel dat dêrby past, want tafallige kombinaasjes jouwe meastentiids deselde flater stadiger. Op in buroblêd is de praktyske klant de NetworkManager L2TP-plug-in mei strongSwan of Libreswan derûnder.

In foarstelstring dy't foar in buroblêd-plug-in ien ding betsjut, kin foar de daemon oan wa't it it wurk jout wat oars betsjutte, dus hâld de syntaks passend foar de laach dy't jo bewurkje. As it apparaat ek in tunnelgeheim easket, is dat in aparte stap fan 'e IPsec-kaai. Befêstigje hokker fan beide de ynterface freget foardat jo der eat yn type.

Agresyf IKEv1 mei XAuth, en it portalfal

In einpunt yn FortiGate-styl wol meastentiids agresive modus mei XAuth en in adres yn konfigurearre modus, wat in grafyske plug-in miskien hielendal net toant. De memmetaaldaemon kin it oan, en it blok hjirûnder is de foarm fan dy konfiguraasje, net in folslein bestân. Sjoch yn 'e aktuele dokumintaasje fan 'e leveransier foar de foarstelwearden.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Aldere strongSwan-ferzjes brûkten xauth=client wêr't ferzje 5 leftauth2=xauth brûkt, dus in kopiearre fragmint kin allinnich op syntaks mislearje. Foar in TLS-portaal kin openconnect, dat it AnyConnect-protokol praat, Cisco en de measte omneamde merken oan, en it hat in TUN-apparaat plus de rjochten nedich om it te konfigurearjen. Jow it portaaladres krekt sa't de browser it toant, ynklusyf elk paad dat it apparaat ferwachtet, en kontrolearje dan it tawiisde adres foardat jo eat efter it testet. It foarôf oanmeitsjen fan 'e ynterface hellet ien klasse fan ferrassingen by de opset wei.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Ferbine, ferifiearje dan yn in fêste folchoarder

Draai krekt ien VPN-behearder tagelyk, want in NetworkManager-profyl en in mei de hân starte daemon fjochtsje oer rûtes en DNS. Helje it profyl del foardat jo in manuele ferbining testet, en befêstigje dat gjin ferâldere tunnel-ynterface oerlibbet. Ferifiearje dan yn dizze folchoarder: tunneladres, rûte nei de ienige ynterne host dy't jo nedich hawwe, namme-oplossing, en úteinlik in echt fersyk. In grien ikoan bewiist autentikaasje en neat oars.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

As in stap mislearret, stopje dêr ynstee fan de folgjende te testen, want in DNS-mislearring streamôf fan in brutsen rûte leart jo neat. Bewarje in kopy fan it wurkjende profyl foardat jo eksperimintearje, want in wiske ferbiningsbestân is maklik te ferliezen en ferfelend opnij te bouwen. Hâld de foarstelwearden yn deselde notysje as it apparaatmodel en de firmwareferzje, want dy notysje is it ferskil tusken in migraasje en in argeologyprojekt as it kastje ferfongen wurdt.