FortiGate IPsec Linux-ում. ո՛ր հաճախորդն է իրականում միանում

Ձեր Windows-ի գործընկերը ներմուծում է FortiGate-ի կախարդի պրոֆիլ և մեկ րոպեում առցանց է։ Դուք տեղադրում եք նույն մատակարարի փաթեթը Ubuntu-ում, փնտրում IPsec ներդիր և գտնում եք հաճախորդ, որը գիտի միայն բացել SSL VPN պորտալ։ Հաջորդող եզրակացությունը սովորաբար կրկնակի սխալ է՝ դարպասը ձեզ չի մերժում, և Linux-ի կառուցումը կոտրված չէ։ Fortinet-ը տրամադրում է այդ հաճախորդին միայն SSL VPN աջակցությամբ, ուստի բջջային IPsec պրոֆիլը տեղ չունի ապրելու և պետք է վերակառուցվի այնտեղ, որտեղ խոսում են IKEv1.

Նախ որոշեք, թե իրականում որ արձանագրությունն եք ստացել

Այդ վերակառուցումը մեխանիկական է, հենց որ դադարեք մատակարարի հաճախորդին համարել հղման իրականացում։

FortiGate սարքերը հրապարակում են և՛ SSL VPN, և՛ IPsec, և հանձնման նամակը հազվադեպ է ասում, թե որն է ձեզ տրվել։ Պորտալի URL-ը գումարած դիտարկիչի ոճի մուտքի էջը նշանակում է SSL VPN, և Linux-ում այնտեղ պատասխանը openfortivpn-ն է, ոչ թե ներքևի դաշտերի քարտեզագրումը։ Խմբի նույնացուցիչը գումարած նախապես համօգտագործված բանալին նշանակում է բջջային IPsec, ինչով զբաղվում են vpnc-ն և strongSwan-ը։

Սա սխալ անելը Linux-ի փորձի առաջին փուլից առաջ մեռնելու ամենատարածված պատճառն է. հաճախորդը HTTPS պորտալին IKEv1 է առաջարկում կամ հակառակը. Նախքան որևէ բան տեղադրելը գրավոր խնդրեք ադմինիստրատորից արձանագրության անվանումը։

Չորս հավատարմագրեր ճամփորդում են չորս տարբեր դաշտերում

password բառը հանդիպում է երկու անգամ հանձնումների մեծ մասում և նշանակում է երկու տարբեր բան։ Նախապես համօգտագործված բանալին ինքն է վավերացնում գործընկերոջը, և դա մեքենայի գաղտնիք է, որը ադմինիստրատորը կարդում է դարպասի կարգավորումից։ Ձեր հաշվի գաղտնաբառը առանձին հավատարմագիր է, որն ապացուցում է, թե որ մարդն է այդ գործընկերոջ հետևում։

Մյուս երկու արժեքներն ավելի հեշտ է բաց թողնել։ Խմբի նույնացուցիչը այն տողն է, որը կախարդը գրել է IPsec խմբի օբյեկտում, և 0-ը օրինական արժեք է, ոչ թե դատարկ դաշտ։ Առաջարկը ներառում է գաղտնագրում, հեշավորում և Diffie-Hellman խումբ յուրաքանչյուր փուլի համար, գումարած PFS կարգավորումը, և դրա յուրաքանչյուր կետ պետք է համապատասխանի դարպասին։ Երբ կապը ձախողվում է 1-ին փուլում, գրեթե միշտ այդ չորսից մեկն է մեղավոր, այնպես որ գրանցեք դրանք առանձին՝ մեկ պատուհանի մեջ լցնելու փոխարեն։

Ինչ պետք է պարունակի vpnc-ի յուրաքանչյուր դաշտը

Տեղադրեք հաճախորդը խմբագրիչի ինտերֆեյսի հետ միասին, ապա ստեղծեք VPNC միացում.

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Դարպասը դրեք FortiGate-ի հանրային հասցեին, իսկ խմբի անունը՝ ճիշտ դարպասից ստացված նույնացուցիչին, ներառյալ մերկ զրոն։ Group password-ը վերցնում է նախապես համօգտագործված բանալին, իսկ օգտանունը և գաղտնաբառը՝ ձեր հաշիվը, ցանկացած թոքեն ավելացված այնպես, ինչպես դարպասն է սպասում։ Ընդլայնված երկխոսության մեջ ընտրեք այն Diffie-Hellman խումբը, որը նշում է առաջարկը, համապատասխանեցրեք PFS-ը նույն խմբին, միացրեք NAT անցումը, երբ հաճախորդը տնային երթուղիչի հետևում է, և թողեք մեռած գործընկերոջ հայտնաբերումը դարպասի հետ նույն քայլում։

Խմբի անունը այն դաշտն է, որը բաց է թողնվում, որովհետև այն ընտրովի է թվում, և լռելյայն զրոն նման է տեղապահի։ Ուղարկեք այն դատարկ, և հաճախորդը կհաղորդի այլ նույնացուցիչ, քան այն, ինչը ստուգում է դարպասը։ Եթե պրոֆիլը դեռ ձախողվում է, համեմատեք ընդլայնված արժեքները աշխատող Windows հաճախորդի հետ, այլ ոչ թե մեկ այլ կայքի ֆորումի գրառման։

Նույն պրոֆիլը գրված strongSwan-ի համար

strongSwan-ը այս արժեքների համար ավելի լավ երկարաժամկետ տարա է, քանի որ կարգավորումը տեքստային ֆայլ է, որը կարող եք վերանայել և պահել.

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Կարդացեք առաջարկի տողերը բլոկից առաջ, որովհետև վերջի բացականչական նշանը փոխում է դրանց իմաստը. այն ամրացնում է հենց այդ մեկ առաջարկը և հեռացնում այն այլընտրանքները, որ հաճախորդը հակառակ դեպքում կառաջարկեր։ Մեկ ձևափոխման զույգի համար կարգավորված դարպասը կմերժի ցանկով բացվող հաճախորդին, ուստի հենց ամրացումն է բանակցությունը համընկնման վերածում. Վերցրեք ալգորիթմների ճշգրիտ անունները աշխատող դարպասի պրոֆիլից և փոխարինեք տեղապահերը ձեր սեփական արժեքներով։

Վավերացման երկու տողերն ավելորդ չեն։ PSK-ն ապացուցում է գործընկերոջը, XAuth բլոկը՝ օգտատիրոջը, և դրանցից որևէ մեկի բացթողումը թողնում է փուլ, որը դարպասը չի ավարտի։

Կարդացեք ձախողումը նախքան ևս մեկ դաշտ փոխելը

Աշխատեք ախտանիշից հետընթաց՝ երկխոսությունը նորից պատահականացնելու փոխարեն։ Հատկացված հասցե չունեցող IKE SA-ն նշանակում է, որ օգտատիրոջ վավերացման փոխանակումը ձախողվել է կամ երբեք չի ընթացել, ուստի ստուգեք հաշիվը և թոքենի հետ վարվելը։ Երբեք չավարտվող 1-ին փուլը մատնանշում է առաջարկը, խմբի նույնացուցիչը կամ ագրեսիվ ռեժիմը, և դրանցից յուրաքանչյուրը համեմատվում է դարպասի հետ, ոչ միայն Windows հաճախորդի։

Թունելը, որը կառուցվում է և հետո մահանում յուրաքանչյուր մի քանի րոպեն, երկու ծայրերի միջև մեռած գործընկերոջ հայտնաբերման տարաձայնություն է. համապատասխանեցրեք դարպասի ժամաչափը՝ ամենուր keepalive-ները անջատելու փոխարեն։ Կառուցված թունելը, որտեղ գրասենյակի հոսթերը մնում են անհասանելի, սովորաբար նշանակում է, որ մղված ենթացանցը երբեք չի հասել տեղական երթուղավորման աղյուսակ, ինչը երրորդ կողմի հաճախորդը կարող է ինքը չանել։

Ավարտելիս վերադարձրեք աշխատող արժեքները դարպասի տիրոջը՝ արձանագրություն, խմբի նույնացուցիչ, նախապես համօգտագործված բանալի, առաջարկ, PFS և DPD որոշում։ Այն ժամանակ հաջորդ Linux մեքենան ամբողջ երեկոյի փոխարեն կտևի րոպեներ, և ոչ ոքի պետք չի նորից բացահայտել, որ խմբի անունը զրո էր։