FortiGate IPsec Linuxon: melyik kliens csatlakozik valójában

A Windows-os kollégád importál egy FortiGate-varázsló-profilt, és egy perc alatt online van. Te ugyanazt a gyártói csomagot telepíted Ubuntu alá, IPsec fület keresel, és olyan klienst találsz, amely csak egy SSL VPN portált tud megnyitni. A következtetés, amely ilyenkor adódik, általában kétszeresen hibás: az átjáró nem utasít el, és a Linux-fordítás nem hibás. A Fortinet ezt a klienst csak SSL VPN-támogatással szállítja, ezért a mobil IPsec-profilnak nincs hol laknia, és ott kell újraépíteni, ahol IKEv1-et beszélnek.

Először döntsd el, valójában melyik protokollt kaptad

Ez az újraépítés mechanikus, amint felhagysz azzal, hogy a gyártói klienst tekintsd referenciamegvalósításnak.

A FortiGate-eszközök SSL VPN-t és IPsec-et is hirdetnek, az átadó e-mail pedig ritkán mondja meg, melyiket kaptad. Egy portál-URL plusz böngészőstílusú bejelentkező oldal SSL VPN-t jelent, és Linuxon ott az openfortivpn a válasz, nem a lentebbi mezőleképezés. Egy csoportazonosító plusz előre megosztott kulcs mobil IPsec-et jelent, amellyel a vpnc és a strongSwan foglalkozik.

Ezt elrontani a leggyakoribb oka annak, hogy egy Linux-próbálkozás meghal, mielőtt az első fázis befejeződne: a kliens IKEv1-et kínál egy HTTPS-portálnak, vagy fordítva. Kérd írásban a rendszergazdától a protokoll nevét, mielőtt bármit telepítesz.

Négy hitelesítő adat négy különböző mezőben utazik

A password szó a legtöbb átadásban kétszer szerepel, és két különböző dolgot jelent. Az előre megosztott kulcs magát a peert hitelesíti, és ez egy gépi titok, amelyet a rendszergazda az átjáró konfigurációjából olvas ki. A fiókod jelszava külön hitelesítő adat, amely azt bizonyítja, melyik ember áll a peer mögött.

A másik két értéket könnyebb elnézni. A csoportazonosító az a karakterlánc, amelyet a varázsló az IPsec-csoportobjektumba írt, és a 0 érvényes érték, nem üres mező. A javaslat minden fázisra lefedi a titkosítást, a hashelést és egy Diffie-Hellman-csoportot, valamint a PFS-beállítást, és minden elemének egyeznie kell az átjáróval. Amikor egy kapcsolat az 1. fázisban elbukik, szinte mindig e négy közül a hibás, ezért külön jegyezd fel őket, ahelyett hogy egyetlen párbeszédablakba öntenéd.

Mit kell tartalmaznia az egyes vpnc-mezőknek

Telepítsd a klienst a szerkesztő felülettel együtt, majd hozz létre egy VPNC-kapcsolatot:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Állítsd az átjárót a FortiGate nyilvános címére, a csoportnevet pedig pontosan az átjáróról származó azonosítóra, beleértve a csupasz nullát. A Group password az előre megosztott kulcsot veszi fel, míg a felhasználónév és a jelszó a fiókodat, bármely tokent úgy hozzáfűzve, ahogy az átjáró elvárja. A speciális párbeszédablakban válaszd ki a javaslat által megnevezett Diffie-Hellman-csoportot, igazítsd a PFS-t ugyanahhoz a csoporthoz, engedélyezd a NAT-átjárást, ha a kliens otthoni router mögött van, és tartsd a holt peer észlelését az átjáróval egy ütemben.

A csoportnév az a mező, amelyet kihagynak, mert opcionálisnak tűnik, és az alapértelmezett nulla helyőrzőhöz hasonlít. Küldd üresen, és a kliens más azonosítót továbbít, mint amelyet az átjáró ellenőriz. Ha a profil továbbra is elbukik, hasonlítsd össze a speciális értékeket a működő Windows-klienssel, ne egy másik webhely fórumbejegyzésével.

Ugyanaz a profil strongSwanhoz írva

A strongSwan a jobb hosszú távú tartály ezeknek az értékeknek, mivel a konfiguráció egy szövegfájl, amelyet átnézhetsz és megtarthatsz:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Olvasd el a javaslat sorait a blokk előtt, mert a záró felkiáltójel megváltoztatja a jelentésüket: rögzíti azt az egyetlen javaslatot, és eltávolítja azokat az alternatívákat, amelyeket a kliens egyébként kínálna. Az egyetlen transzformációpárra beállított átjáró elutasítja az olyan klienst, amely listával nyit, tehát éppen a rögzítés az, ami a tárgyalást egyezéssé teszi. Pontos algoritmusneveket a működő átjáróprofilból vegyél, és a helyőrzőket cseréld a saját értékeidre.

A két hitelesítési sor nem fölösleges. A PSK a peert bizonyítja, az XAuth-blokk a felhasználót, és bármelyik elhagyása olyan fázist hagy, amelyet az átjáró nem fejez be.

Olvasd el a hibát, mielőtt újabb mezőt változtatsz

A tünettől indulj visszafelé, ahelyett hogy újra összekevernéd a párbeszédablakot. A kiosztott cím nélkül felálló IKE SA azt jelenti, hogy a felhasználói hitelesítés cseréje meghiúsult vagy soha nem futott le, ezért ellenőrizd a fiókot és a token kezelését. A soha be nem fejeződő 1. fázis a javaslatra, a csoportazonosítóra vagy az agresszív módra mutat, és ezek mindegyikét az átjáróhoz hasonlítják, nem csak a Windows-klienshez.

Az a tunnel, amely felépül, majd néhány percenként meghal, a két vég közötti holt peer észlelés nézeteltérése; az átjáró időzítőjét igazítsd, ahelyett hogy mindenhol kikapcsolnád a keepalive-okat. Egy felépült tunnel, amelyben az irodai hosztok elérhetetlenek maradnak, általában azt jelenti, hogy a tolt alhálózat soha nem került be a helyi útválasztási táblázatba, amit egy harmadik féltől származó kliens esetleg nem tesz meg magától.

Ha végeztél, add vissza a működő értékeket az átjáró tulajdonosának: protokoll, csoportazonosító, előre megosztott kulcs, javaslat, PFS és a DPD-döntés. A következő Linux-gép így perceket vesz igénybe egy este helyett, és senkinek nem kell újra felfedeznie, hogy a csoportnév nulla volt.