Linux પર FortiGate IPsec: કયો ક્લાઇન્ટ ખરેખર જોડાય છે

તમારા Windows સહકર્મી FortiGate વિઝાર્ડ પ્રોફાઇલ આયાત કરે છે અને એક મિનિટમાં ઓનલાઇન થઈ જાય છે. તમે Ubuntu પર એ જ વેન્ડર પેકેજ સ્થાપિત કરો છો, IPsec ટૅબ શોધો છો અને એવો ક્લાઇન્ટ મળે છે જે ફક્ત SSL VPN પોર્ટલ ખોલવાનું જાણે છે. ત્યારપછીનો નિષ્કર્ષ સામાન્ય રીતે બે રીતે ખોટો હોય છે: ગેટવે તમને નકારતું નથી, અને Linux બિલ્ડ તૂટેલું નથી. Fortinet એ ક્લાઇન્ટને ફક્ત SSL VPN સપોર્ટ સાથે મોકલે છે, તેથી મોબાઇલ IPsec પ્રોફાઇલને રહેવાની જગ્યા નથી અને IKEv1 બોલાય છે ત્યાં તેને ફરીથી બનાવવું પડે છે.

પહેલાં નક્કી કરો કે તમને ખરેખર કયો પ્રોટોકોલ આપવામાં આવ્યો છે

જ્યારે તમે વેન્ડર ક્લાઇન્ટને સંદર્ભ અમલીકરણ તરીકે ગણવાનું બંધ કરો છો ત્યારે એ પુનર્નિર્માણ યાંત્રિક છે.

FortiGate ઉપકરણો SSL VPN અને IPsec બંને પ્રકાશિત કરે છે, અને હેન્ડઓવર ઈમેલ ભાગ્યે જ કહે છે કે તમને કયો આપવામાં આવ્યો છે. પોર્ટલ URL સાથે બ્રાઉઝર-શૈલીનું લોગિન પૃષ્ઠ એટલે SSL VPN, અને Linux પર ત્યાં જવાબ openfortivpn છે, નીચેનું ફીલ્ડ મેપિંગ નહીં. જૂથ ઓળખકર્તા સાથે પૂર્વ-શેર કરેલી કી એટલે મોબાઇલ IPsec, જે vpnc અને strongSwan સંભાળે છે.

આમાં ભૂલ કરવી એ Linux પ્રયાસ પ્રથમ તબક્કો પૂર્ણ થાય તે પહેલાં મરી જવાનું સૌથી સામાન્ય કારણ છે: ક્લાઇન્ટ HTTPS પોર્ટલને IKEv1 ઓફર કરે છે અથવા ઊલટું. કંઈપણ સ્થાપિત કરતાં પહેલાં એડમિનિસ્ટ્રેટર પાસેથી પ્રોટોકોલનું નામ લખાણમાં માંગો.

ચાર ક્રેડેન્શિયલ ચાર જુદા જુદા ફીલ્ડમાં મુસાફરી કરે છે

password શબ્દ મોટાભાગના હેન્ડઓવરમાં બે વાર આવે છે અને બે જુદી બાબતો અર્થ ધરાવે છે. પૂર્વ-શેર કરેલી કી પીઅરને જ પ્રમાણિત કરે છે, અને તે મશીન રહસ્ય છે જે એડમિનિસ્ટ્રેટર ગેટવે રૂપરેખાંકનમાંથી વાંચે છે. તમારા ખાતાનો પાસવર્ડ અલગ ક્રેડેન્શિયલ છે જે સાબિત કરે છે કે તે પીઅર પાછળ કઈ વ્યક્તિ છે.

બાકીના બે મૂલ્યો ચૂકી જવાનું સહેલું છે. જૂથ ઓળખકર્તા એ સ્ટ્રિંગ છે જે વિઝાર્ડે IPsec જૂથ ઑબ્જેક્ટમાં લખી હતી, અને 0 એ કાયદેસર મૂલ્ય છે, ખાલી ફીલ્ડ નહીં. પ્રસ્તાવ દરેક તબક્કા માટે એન્ક્રિપ્શન, હેશિંગ અને Diffie-Hellman જૂથ, ઉપરાંત PFS સેટિંગ આવરી લે છે, અને તેની દરેક વસ્તુ ગેટવે સાથે મેળ ખાવી જોઈએ. જ્યારે કનેક્શન 1 ના તબક્કે નિષ્ફળ જાય, ત્યારે લગભગ હંમેશા એ ચારમાંથી એક જ જવાબદાર હોય છે, તેથી તેમને એક જ સંવાદમાં નાખવાને બદલે અલગ લખો.

દરેક vpnc ફીલ્ડમાં શું હોવું જોઈએ

ક્લાઇન્ટને એડિટર ફ્રન્ટ-એન્ડ સાથે સ્થાપિત કરો, પછી VPNC કનેક્શન બનાવો:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

ગેટવેને FortiGate ના જાહેર સરનામા પર સેટ કરો, અને જૂથનું નામ ગેટવેના ઓળખકર્તા પર બરાબર સેટ કરો, જેમાં નકલી શૂન્યનો સમાવેશ થાય છે. Group password પૂર્વ-શેર કરેલી કી લે છે, જ્યારે વપરાશકર્તાનામ અને પાસવર્ડ તમારું ખાતું લે છે, ગેટવે જેમ અપેક્ષા રાખે તેમ કોઈપણ ટોકન ઉમેરીને. અદ્યતન સંવાદમાં, પ્રસ્તાવ જે Diffie-Hellman જૂથનું નામ આપે છે તે પસંદ કરો, PFS ને એ જ જૂથ સાથે મેળ કરો, ક્લાઇન્ટ ઘરેલું રાઉટર પાછળ હોય ત્યારે NAT ટ્રાવર્સલ સક્ષમ કરો, અને ડેડ પીઅર ડિટેક્શનને ગેટવે સાથે એક જ પગલામાં રાખો.

જૂથનું નામ એ ફીલ્ડ છે જે છોડી દેવાય છે, કારણ કે તે વૈકલ્પિક લાગે છે અને મૂળભૂત શૂન્ય પ્લેસહોલ્ડર જેવું લાગે છે. તેને ખાલી મોકલો તો ક્લાઇન્ટ ગેટવે જે ઓળખકર્તા માન્ય કરે છે તેનાથી અલગ ઓળખકર્તા મોકલે છે. જો પ્રોફાઇલ હજી પણ નિષ્ફળ જાય, તો અદ્યતન મૂલ્યોની સરખામણી બીજી સાઇટ માટેના ફોરમ પોસ્ટ સાથે નહીં, કાર્યરત Windows ક્લાઇન્ટ સાથે કરો.

strongSwan માટે લખાયેલી એ જ પ્રોફાઇલ

આ મૂલ્યો માટે strongSwan સારો લાંબા ગાળાનો પાત્ર છે, કારણ કે રૂપરેખાંકન એ ટેક્સ્ટ ફાઇલ છે જે તમે સમીક્ષા કરી શકો અને રાખી શકો:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

બ્લોક પહેલાં પ્રસ્તાવની લાઇનો વાંચો, કારણ કે અંતમાં આવતું ઉદ્ગારવાચક ચિહ્ન તેમનો અર્થ બદલે છે: તે એ એક જ પ્રસ્તાવને પિન કરે છે અને ક્લાઇન્ટ જે વિકલ્પો આપત તેને દૂર કરે છે. એક ટ્રાન્સફોર્મ જોડી માટે રૂપરેખાંકિત ગેટવે યાદી સાથે ખૂલતા ક્લાઇન્ટને નકારશે, તેથી પિનિંગ જ વાટાઘાટને મેળમાં ફેરવે છે. કાર્યરત ગેટવે પ્રોફાઇલમાંથી અલ્ગોરિધમના ચોક્કસ નામો લો, અને પ્લેસહોલ્ડર્સને તમારા પોતાના મૂલ્યોથી બદલો.

બે પ્રમાણીકરણ લાઇનો બિનજરૂરી નથી. PSK પીઅર સાબિત કરે છે, XAuth બ્લોક વપરાશકર્તાને સાબિત કરે છે, અને બંનેમાંથી કોઈપણ છોડી દેવાથી એવો તબક્કો રહે છે જે ગેટવે પૂરો કરશે નહીં.

બીજું ફીલ્ડ બદલતાં પહેલાં નિષ્ફળતા વાંચો

સંવાદને ફરી રેન્ડમાઇઝ કરવાને બદલે લક્ષણથી પાછળ તરફ કામ કરો. વિતરિત સરનામા વિના ઉપર આવતું IKE SA એટલે વપરાશકર્તા પ્રમાણીકરણની આપલે નિષ્ફળ ગઈ અથવા ક્યારેય ચાલી નહીં, તેથી ખાતું અને ટોકન સંભાળ તપાસો. ક્યારેય પૂર્ણ ન થતો 1 નો તબક્કો પ્રસ્તાવ, જૂથ ઓળખકર્તા અથવા આક્રમક મોડ તરફ ઇશારો કરે છે, અને તેમાંથી દરેકની સરખામણી ગેટવે સાથે થાય છે, ફક્ત Windows ક્લાઇન્ટ સાથે નહીં.

જે ટનલ સ્થપાય છે અને પછી દર થોડી મિનિટે મરી જાય છે તે બે છેડા વચ્ચે ડેડ પીઅર ડિટેક્શનનો મતભેદ છે; બધે keepalive બંધ કરવાને બદલે ગેટવેનો ટાઇમર મેળ કરો. સ્થપાયેલી ટનલમાં ઓફિસના હોસ્ટ અપ્રાપ્ય રહે છે એનો સામાન્ય અર્થ એ છે કે ધકેલાયેલું સબનેટ કદી સ્થાનિક રૂટિંગ કોષ્ટકમાં પહોંચ્યું નહીં, જે તૃતીય-પક્ષ ક્લાઇન્ટ પોતાની રીતે ન કરે.

કામ પૂરું થાય ત્યારે કાર્યરત મૂલ્યો ગેટવેના માલિકને પાછા આપો: પ્રોટોકોલ, જૂથ ઓળખકર્તા, પૂર્વ-શેર કરેલી કી, પ્રસ્તાવ, PFS અને DPD નિર્ણય. પછી આગલું Linux મશીન આખી સાંજને બદલે થોડી મિનિટ લેશે, અને જૂથનું નામ શૂન્ય હતું તે ફરી શોધવાની કોઈને જરૂર પડશે નહીં.