FortiGate IPsec ar Linux: cén cliant a nascann i ndáiríre

Iompórtálann do chomhghleacaí Windows próifíl de chuid draoi FortiGate agus bíonn sé ar líne i gceann nóiméid. Suiteálann tusa an pacáiste céanna ón soláthróir ar Ubuntu, féachann tú le haghaidh cluaisín IPsec, agus aimsíonn tú cliant nach bhfuil aithne aige ach ar SSL VPN a oscailt. Bíonn an chonclúid a leanann de ghnáth mícheart faoi dhó: níl an tairseach do do dhiúltú, agus níl an build Linux briste. Seolann Fortinet an cliant sin le tacaíocht SSL VPN amháin, mar sin níl áit ar bith ag próifíl IPsec móibíleach agus caithfear í a atógáil in áit éigin a labhraíonn IKEv1.

Ar dtús, socraigh cén prótacal a tugadh duit i ndáiríre

Tá an atógáil sin meicniúil a luaithe a stopann tú ag breathnú ar chliant an tsoláthróra mar an gcur i bhfeidhm tagartha.

Foilsíonn feistí FortiGate SSL VPN agus IPsec araon, agus is annamh a deir an ríomhphost láimhseála cé acu a deonaíodh duit. Ciallaíonn URL tairsí móide leathanach logála isteach i stíl bhrabhsálaí SSL VPN, agus ar Linux is é openfortivpn an freagra ansin, ní an mhapáil réimsí thíos. Ciallaíonn aitheantóir grúpa móide eochair réamhroinnte IPsec móibíleach, rud a láimhseálann vpnc agus strongSwan.

Is é dul amú air seo an chúis is coitianta a bhfaigheann iarracht Linux bás sula gcríochnaíonn an chéad chéim: tá an cliant ag tairiscint IKEv1 do thairseach HTTPS nó a mhalairt. Iarr ainm an phrótacail i scríbhinn ar an riarthóir sula suiteálann tú aon rud.

Taistealaíonn ceithre dhintiúr i gceithre réimse éagsúla

Tagann an focal password faoi dhó i bhformhór na láimhseála agus ciallaíonn sé dhá rud éagsúla. Fíoraíonn an eochair réamhroinnte an piara féin, agus is rún meaisín í a léann an riarthóir as cumraíocht na tairsí. Is dintiúr ar leith é pasfhocal do chuntais a chruthaíonn cé an duine atá taobh thiar den phiara sin.

Tá an dá luach eile níos fusa le cailliúint. Is é an t-aitheantóir grúpa an teaghrán a scríobh an draoi sa réad grúpa IPsec, agus is luach dlisteanach é 0 seachas réimse folamh. Clúdaíonn an togra criptiú, haiseáil agus grúpa Diffie-Hellman do gach céim, móide an socrú PFS, agus caithfidh gach mír ann teacht leis an tairseach. Nuair a theipeann ar nasc i gcéim 1, is beagnach i gcónaí duine de na ceithre cinn sin atá ciontach, mar sin scríobh síos iad ar leithligh seachas iad a chaitheamh isteach in aon dialóg amháin.

Cad a chaithfidh a bheith i ngach réimse vpnc

Suiteáil an cliant mar aon leis an eagarthóir, ansin cruthaigh nasc VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Socraigh an tairseach ar sheoladh poiblí an FortiGate, agus socraigh ainm an ghrúpa go díreach ar an aitheantóir ón tairseach, lena n-áirítear nialas lom. Tógann Group password an eochair réamhroinnte, agus tógann an t-ainm úsáideora agus an pasfhocal do chuntas, le haon chomhartha curtha leis mar a mheasann an tairseach. Sa dialóg chun cinn, roghnaigh an grúpa Diffie-Hellman a ainmníonn an togra, ailínigh PFS leis an ngrúpa céanna, cumasaigh trasnú NAT nuair a bhíonn an cliant taobh thiar de ródaire baile, agus fág braite piara mhairbh ar aon chéim leis an tairseach.

Is é ainm an ghrúpa an réimse a scipeáiltear, mar go bhfeictear é a bheith roghnach agus go bhfuil an réamhshocrú nialas cosúil le sealbhóir áite. Seol folamh é agus tarchuireann an cliant aitheantóir difriúil ón gceann a fhíoraíonn an tairseach. Má theipeann ar an bpróifíl fós, déan comparáid idir na luachanna chun cinn agus an cliant Windows atá ag obair seachas le post fóraim do shuíomh eile.

An phróifíl chéanna scríofa do strongSwan

Is é strongSwan an coimeádán fadtéarmach is fearr do na luachanna seo, ós rud é gur comhad téacs é an chumraíocht ar féidir leat é a athbhreithniú agus a choimeád:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Léigh línte an togra roimh an mbloc, mar athraíonn an comhartha uaillbhreasa ag an deireadh a gciall: piann sé an t-aon togra sin agus baineann sé na roghanna a thairgfeadh an cliant a mhalairt. Diúltóidh tairseach atá cumraithe do phéire claochlaithe amháin do chliant a osclaítear le liosta, mar sin is é an pianadh a dhéanann idirbheartaíocht de mheaitseáil. Tóg na hainmneacha beachta ar na halgartaim ón bpróifíl tairsí atá ag obair, agus cuir do luachanna féin in ionad na sealbhóirí áite.

Níl an dá líne fíordheimhnithe iomarcach. Cruthaíonn an PSK an piara, cruthaíonn bloc XAuth an t-úsáideoir, agus fágann baint ceachtar acu céim nach gcríochnóidh an tairseach.

Léigh an teip sula n-athraíonn tú réimse eile

Oibrigh siar ón siomptóm seachas an dialóg a randamú arís. Ciallaíonn IKE SA a thagann aníos gan seoladh sannta gur theip ar an malartú fíordheimhnithe úsáideora nó nár rith sé riamh, mar sin seiceáil an cuntas agus an láimhseáil chomhartha. Cuireann céim 1 nach gcríochnaíonn choíche in iúl don togra, don aitheantóir grúpa nó don mhód ionsaitheach, agus déantar gach ceann acu a chur i gcomparáid leis an tairseach, ní hamháin leis an gcliant Windows.

Is easaontas braite piara mhairbh idir an dá cheann é tollán a bhunaítear agus a fhaigheann bás gach cúpla nóiméad; ailínigh amadóir na tairsí seachas keepalives a chur as gach áit. Ciallaíonn tollán bunaithe ina bhfanann óstair na hoifige gan rochtain go mb'fhéidir nár tháinig an foshuíomh brúite isteach sa tábla ródaithe áitiúil riamh, rud nach ndéanfadh cliant tríú páirtí leis féin b'fhéidir.

Tabhair na luachanna atá ag obair ar ais d'úinéir na tairsí nuair a bheidh tú críochnaithe: prótacal, aitheantóir grúpa, eochair réamhroinnte, togra, PFS agus an cinneadh DPD. Ansin tógann an chéad mheaisín Linux eile nóiméid in ionad tráthnóna, agus ní gá do dhuine ar bith a fháil amach arís gur nialas a bhí in ainm an ghrúpa.