IPsec de FortiGate en Linux: que cliente se conecta de verdade

O teu compañeiro de Windows importa un perfil do asistente de FortiGate e está en liña nun minuto. Ti instalas o mesmo paquete do provedor en Ubuntu, buscas unha pestana IPsec e atopas un cliente que só sabe abrir un SSL VPN. A conclusión que segue adoita ser dobremente errónea: a pasarela non te rexeita e a compilación de Linux non está rota. Fortinet distribúe ese cliente só con soporte de SSL VPN, así que un perfil IPsec móbil non ten onde vivir e hai que reconstruílo nalgún sitio que fale IKEv1.

Primeiro, decide que protocolo che deron realmente

Esa reconstrución é mecánica en canto deixas de tratar o cliente do provedor como a implementación de referencia.

Os dispositivos FortiGate publican tanto SSL VPN como IPsec, e o correo de traspaso raramente di cal che concederon. Un URL de portal máis unha páxina de inicio de sesión estilo navegador significa SSL VPN, e en Linux a resposta alí é openfortivpn, non o mapeo de campos de abaixo. Un identificador de grupo máis unha chave precompartida significa IPsec móbil, que é o que manexan vpnc e strongSwan.

Equivocarse nisto é a razón máis común de que un intento en Linux morra antes de completarse a primeira fase: o cliente ofrece IKEv1 a un portal HTTPS ou ao revés. Pide ao administrador o nome do protocolo por escrito antes de instalar nada.

Catro credenciais viaxan en catro campos distintos

A palabra password aparece dúas veces na maioría dos traspasos e significa dúas cousas diferentes. A chave precompartida autentica o propio peer, e é un segredo de máquina que o administrador le da configuración da pasarela. O contrasinal da túa conta é unha credencial aparte que demostra que persoa hai detrás dese peer.

Os outros dous valores son máis fáciles de pasar por alto. O identificador de grupo é a cadea que o asistente escribiu no obxecto de grupo IPsec, e 0 é un valor lexítimo e non un campo baleiro. A proposta cobre cifrado, hash e un grupo Diffie-Hellman para cada fase, ademais do axuste PFS, e cada elemento debe coincidir coa pasarela. Cando unha conexión falla na fase 1, case sempre o culpable é un deses catro, así que anótaos por separado en lugar de metelos nun só diálogo.

Que debe conter cada campo de vpnc

Instala o cliente xunto coa interface do editor e despois crea unha conexión VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Pon a pasarela no enderezo público do FortiGate e o nome de grupo exactamente no identificador da pasarela, incluído un cero espido. Group password toma a chave precompartida, mentres que o nome de usuario e o contrasinal toman a túa conta, con calquera token engadido como a pasarela espera. No diálogo avanzado, escolle o grupo Diffie-Hellman que nomea a proposta, iguala PFS ao mesmo grupo, activa o traversal NAT cando o cliente está detrás dun router doméstico e deixa a detección de peer morto ao mesmo paso que a pasarela.

O nome de grupo é o campo que se omite, porque parece opcional e o cero por defecto parece un marcador. Envíao en branco e o cliente transmite un identificador distinto do que valida a pasarela. Se o perfil segue fallando, compara os valores avanzados co cliente de Windows que funciona en lugar de cunha mensaxe de foro doutro sitio.

O mesmo perfil escrito para strongSwan

strongSwan é o mellor contedor a longo prazo para estes valores, xa que a configuración é un ficheiro de texto que podes revisar e conservar:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Le as liñas da proposta antes do bloque, porque o signo de exclamación final cambia o seu significado: fixa esa única proposta e elimina as alternativas que o cliente ofrecería doutro xeito. Unha pasarela configurada para un só par de transformacións rexeitará un cliente que se abre cunha lista, así que a fixación é o que converte unha negociación nunha coincidencia. Toma os nomes exactos dos algoritmos do perfil de pasarela que funciona e substitúe os marcadores polos teus propios valores.

As dúas liñas de autenticación non son redundantes. A PSK demostra o peer, o bloque XAuth demostra o usuario, e eliminar calquera das dúas deixa unha fase que a pasarela non rematará.

Le o fallo antes de cambiar outro campo

Traballa cara atrás desde o síntoma en lugar de volver aleatorizar o diálogo. Un IKE SA que sobe sen enderezo asignado significa que o intercambio de autenticación de usuario fallou ou nunca se executou, así que revisa a conta e o manexo do token. Unha fase 1 que nunca se completa apunta á proposta, ao identificador de grupo ou ao modo agresivo, e cada un deles compárase coa pasarela, non só co cliente de Windows.

Un túnel que se establece e despois morre cada poucos minutos é un desacordo de detección de peer morto entre os dous extremos; iguala o temporizador da pasarela en lugar de desactivar os keepalive en todas partes. Un túnel establecido no que os hosts da oficina seguen inalcanzables adoita significar que a subrede empurrada nunca chegou á táboa de encamiñamento local, algo que un cliente de terceiros pode non facer por si mesmo.

Devolve os valores que funcionan ao dono da pasarela cando remates: protocolo, identificador de grupo, chave precompartida, proposta, PFS e a decisión de DPD. A seguinte máquina Linux tarda entón minutos en lugar dunha tarde, e ninguén ten que redescubrir que o nome de grupo era cero.