FortiGate IPsec a Linux: wane abokin ciniki ke haɗawa da gaske

Abokin aikinka na Windows yana shigo da bayanin mai sihirin FortiGate kuma yana kan layi cikin minti ɗaya. Kai kana girka wannan fakitin na mai sayarwa a kan Ubuntu, kana neman shafin IPsec, sai ka sami abokin ciniki wanda ya san buɗe SSL VPN kawai. Sakamakon da ke bi yawanci kuskure ne sau biyu: ƙofar ba ta ƙi ka ba, kuma ginin Linux bai lalace ba. Fortinet yana aika wannan abokin ciniki da tallafin SSL VPN kawai, don haka bayanin IPsec na wayar hannu ba shi da wurin zama kuma dole a sake gina shi a inda ake magana da IKEv1.

Da farko, yanke shawara wace yarjejeniya aka ba ka da gaske

Wannan sake ginawa aikin inji ne da zarar ka daina ɗaukar abokin cinikin mai sayarwa a matsayin misalin aiwatarwa.

Na'urorin FortiGate suna wallafa duka SSL VPN da IPsec, kuma imel ɗin miƙa yawanci ba ya faɗin wanda aka ba ka. URL na ƙofa tare da shafin shiga irin na burauza yana nufin SSL VPN, kuma a Linux amsar a can ita ce openfortivpn, ba taswirar filayen da ke ƙasa ba. Mai gano rukuni tare da maɓallin da aka riga aka raba yana nufin IPsec na wayar hannu, wanda vpnc da strongSwan ke kulawa da shi.

Yin kuskure a wannan shi ne dalilin da ya fi yawa da yake ƙoƙarin Linux ya mutu kafin mataki na farko ya cika: abokin ciniki yana ba da IKEv1 ga ƙofar HTTPS ko akasin haka. Nemi sunan yarjejeniya a rubuce daga mai gudanarwa kafin ka girka komai.

Sirri huɗu suna tafiya a cikin filaye huɗu daban-daban

Kalmar password tana fitowa sau biyu a yawancin miƙawa kuma tana nufin abubuwa biyu dabam. Maɓallin da aka riga aka raba yana tabbatar da abokin gaba da kansa, kuma sirrin inji ne da mai gudanarwa ke karantawa daga tsarin ƙofa. Kalmar sirrin asusunka wani sirri ne daban wanda ke tabbatar da wane mutum ne ke bayan wannan abokin gaba.

Sauran ƙimar biyu sun fi sauƙin mantuwa. Mai gano rukuni shi ne igiyar da mai sihiri ya rubuta a cikin abin rukuni na IPsec, kuma 0 ƙima ce halal ba fili mara komai ba. Shawarar ta ƙunshi ɓoyewa, hashing da rukunin Diffie-Hellman ga kowane mataki, tare da saitin PFS, kuma kowane abu a cikinta dole ya dace da ƙofar. Lokacin da haɗi ya kasa a mataki na 1, kusan koyaushe ɗaya daga cikin waɗannan huɗun ne mai laifi, don haka rubuta su daban maimakon jefa su cikin taga ɗaya.

Abin da kowane filin vpnc dole ya ƙunsa

Girka abokin ciniki tare da fuskar edita, sannan ƙirƙiri haɗin VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Sanya ƙofar a kan adireshin jama'a na FortiGate, kuma sanya sunan rukuni daidai da mai ganowa daga ƙofar, har da sifili tsirara. Group password yana ɗaukar maɓallin da aka riga aka raba, yayin da sunan mai amfani da kalmar sirri ke ɗaukar asusunka, tare da kowane token da aka ƙara yadda ƙofar ke tsammani. A cikin taga ci-gaba, zaɓi rukunin Diffie-Hellman da shawara ta ambata, daidaita PFS da wannan rukuni, kunna NAT traversal lokacin da abokin ciniki ke bayan na'urar tafiya ta gida, kuma bar gano abokin gaba da ya mutu a mataki ɗaya da ƙofar.

Sunan rukuni shi ne filin da ake tsallakewa, domin yana kama da na zaɓi kuma sifili na asali yana kama da mai riƙe wuri. Aika shi fanko sai abokin ciniki ya aika wani mai ganowa dabam da wanda ƙofar ke tabbatarwa. Idan bayanin har yanzu ya kasa, kwatanta ƙimar ci-gaba da abokin cinikin Windows mai aiki maimakon da rubutun dandalin wani shafi.

Wannan bayanin da aka rubuta wa strongSwan

strongSwan shine mafi kyawun kwano na dogon lokaci ga waɗannan ƙimomin, tunda tsarin fayil ne na rubutu da za ka iya dubawa da adanawa:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Karanta layukan shawara kafin toshe, domin alamar mamaki a ƙarshe tana canza ma'anarsu: tana manne da wannan shawara ɗaya kuma tana cire wasu zaɓuɓɓukan da abokin ciniki zai bayar in ba haka ba. Ƙofar da aka saita don nau'i ɗaya na canji za ta ƙi abokin ciniki da ke buɗewa da jeri, don haka mannewa ce ke mai da tattaunawa jituwa. Ɗauki ainihin sunayen algorithms daga bayanin ƙofar da ke aiki, kuma maye gurbin masu riƙe wuri da naka ƙimomin.

Layukan tabbatarwa biyu ba su da yawa. PSK yana tabbatar da abokin gaba, toshe XAuth yana tabbatar da mai amfani, kuma barin ɗaya daga cikinsu yana barin matakin da ƙofar ba za ta kammala ba.

Karanta gazawar kafin ka canza wani fili

Yi aiki da baya daga alamar maimakon sake ba da taga bazuwar. IKE SA da ke tashi ba tare da adireshin da aka ware ba yana nufin musayar tabbatar da mai amfani ta kasa ko ba a taɓa gudanar da ita ba, don haka duba asusun da yadda ake sarrafa token. Mataki na 1 da ba ya ƙarewa yana nuna shawara, mai gano rukuni ko yanayin tashin hankali, kuma kowanne daga cikinsu ana kwatanta shi da ƙofar, ba da abokin cinikin Windows kaɗai ba.

Tunnel da ke kafuwa sannan ya mutu kowane 'yan mintuna rashin jituwa ne na gano abokin gaba da ya mutu tsakanin ƙarshen biyun; daidaita lokacin ƙofar maimakon kashe keepalive a ko'ina. Tunnel da ya kafu wanda ba a iya isa ga mandar ofis a cikinsa yawanci yana nufin cibiyar da aka tura ba ta taɓa shiga teburin turawa na gida ba, abin da abokin ciniki na ɓangare na uku watakila ba zai yi da kansa ba.

Mai da ƙimomin da ke aiki ga mai ƙofar idan ka gama: yarjejeniya, mai gano rukuni, maɓallin da aka riga aka raba, shawara, PFS da shawarar DPD. Sannan na'urar Linux ta gaba za ta ɗauki mintuna maimakon yini, kuma babu wanda zai sake gano cewa sunan rukuni sifili ne.