Համապատասխանեցրեք Linux VPN հաճախորդը հին սարքի արձանագրությանը

Չորս արձանագրային ընտանիքներ ծածկում են դարակում դեռ կանգնած գրեթե յուրաքանչյուր սարք, և դրանցից յուրաքանչյուրը Linux-ում տարբեր կերպ է ձախողվում։ Հեռավոր կողմի հրապարակած պորտերը և կարգավորված առաջարկները որոշում են ձեր փաթեթը, ոչ թե այն տարածումը, որ դուք պատահաբար գործարկում եք։ Տեղադրել այն, ինչ նշված է ֆորումի գրառման մեջ, ապա խմբագրել մինչև ինչ-որ բան միանա — այսպես է անհետանում կեսօրը։ Կարդացեք սարքը, տեղադրեք երկրորդը, ստուգեք երրորդը։

Գրանցեք, թե ինչ է հրապարակում հեռավոր կողմը

Գրեք արձանագրությունը, պորտերը և նույնականացումը, որոնք սարքը սպասում է, նախքան փաթեթների կառավարիչը բացելը։ Չորս ընտանիքներ ծածկում են հին սարքավորումների մեծ մասը, և ներքևի աղյուսակը ողջ որոշումն է մեկ էկրանին։

Ձեռնարկը և սարքի սեփական հրապարակատախտակի կանոնները ավելի վստահելի են, քան նրա մուտքի էջում գրված արձանագրության անունը։ IPsec գովազդող սարքը կարող է խոսել միայն IKEv1-ով, և ոչ ոքի չկիրառած որոնվածքի թողարկումը կարող է այն լինել, որ վերջում ավելացնում է IKEv2։ Հաստատեք և՛ տվյալների ուղին, և՛ տեղադրման պորտը, որովհետև հենց այստեղ են տարբերվում հին սարքավորումը և ժամանակակից ցանցերը։ Այս քայլում սխալվելը նշանակում է կարգաբերել ձեր հաճախորդը մի հատկության դեմ, որը մյուս կողմը երբեք չի ունեցել։

PPTP՝ ապացուցեք GRE-ն նախքան pppd-ն խմբագրելը

PPTP-ն Linux-ում դեմոն չէ, որ դուք գործարկում եք, այլ pppd-ի կանչ, և կապի պարամետրերը ապրում են անվանված peer ֆայլում, որը pppd-ն կարդում է, երբ այն կանչվում է։ Տարածումները դեռ փաթեթավորում են այն, թեև արձանագրության հայտնի թուլությունները այն դարձնում են ոչ պիտանի որևէ զգայուն բանի համար, ուստի պահեք այն խստորեն մի սարքի համար, որն այլ բան չի առաջարկում։ Հետևեք GRE-ին, մինչ հաճախորդը բանակցում է, կարճ ձայնագրությամբ՝ ենթադրության փոխարեն։ Ամենաշատ ժամանակ կորցնող ձախողումը ոչ թե նույնականացումն է, այլ բացակայող տվյալների ուղին։

pppd call branch-office
tcpdump -ni any proto gre -c 5

Եթե տեղադրումն ավարտվում է, և կապը երբեք տրաֆիկ չի տանում, կասկածեք GRE-ի ուղին նախքան հավատարմագրերին դիպչելը։ Ամպային անվտանգության խմբերին 47 արձանագրության համար պետք է բացահայտ կանոն, և որոշ ցանցեր արգելափակում են այն ամբողջությամբ՝ առանց տեսանելի սխալի։ Փորձարկեք այն ցանցից, որն իսկապես կօգտագործեք, ոչ թե լաբորատորիայից, որն ամեն ինչ թույլատրում է։

L2TP/IPsec՝ մեկ համապատասխան առաջարկը հաղթում է տասը փորձին

Կարդացեք դեմոնի մատյանը՝ սեղանադիր պատուհանի փոխարեն, որովհետև պատուհանը մի քանի տարբեր ձախողումներ միավորում է մեկ հաղորդագրության մեջ։ NO_PROPOSAL_CHOSEN սխալը պատկանում է առաջին փուլին. հաճախորդը առաջարկել է գաղտնագրում, հեշ կամ Diffie-Hellman խումբ, որը սերվերը չի ընդունի։ Թվարկեք, թե սարքը ինչ է աջակցում, և գրեք մեկ համապատասխան առաջարկ, քանի որ պատահական համակցությունները սովորաբար նույն սխալը տալիս են ավելի դանդաղ։ Սեղանադիրում գործնական հաճախորդը NetworkManager L2TP հավելումն է՝ իր տակ strongSwan կամ Libreswan։

Առաջարկի տողը, որը սեղանադիր հավելման համար մի բան է նշանակում, կարող է այլ բան նշանակել այն դեմոնի համար, որին այն հանձնում է աշխատանքը, ուստի պահեք շարահյուսությունը համապատասխան այն շերտին, որը խմբագրում եք։ Եթե սարքը պահանջում է նաև թունելի գաղտնիք, դա IPsec բանալուց առանձին փուլ է։ Հաստատեք, թե երկուսից որն է հարցնում միջերեսը, նախքան դրա մեջ ինչ-որ բան մուտքագրելը։

Ագրեսիվ IKEv1 XAuth-ով, և պորտալի դեպքը

FortiGate ոճի վերջնակետը սովորաբար ուզում է ագրեսիվ ռեժիմ XAuth-ով և կարգավորված ռեժիմի հասցե, որը գրաֆիկական հավելումը կարող է ընդհանրապես չցուցադրել։ Ներկառուցված դեմոնը հաղթահարում է այն, և ներքևի բլոկը այդ կարգավորման ձևն է, ոչ թե ամբողջական ֆայլ։ Ստուգեք արտադրողի ընթացիկ փաստաթղթերը առաջարկի արժեքների համար։

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

strongSwan-ի հին թողարկումները օգտագործում էին xauth=client, որտեղ 5 տարբերակը օգտագործում է leftauth2=xauth, ուստի պատճենված հատվածը կարող է ձախողվել միայն շարահյուսության պատճառով։ TLS պորտալի համար openconnect-ը, որ խոսում է AnyConnect արձանագրությամբ, հաղթահարում է Cisco-ն և վերանվանված ապրանքանիշերի մեծ մասը, և նրան պետք է TUN սարք ու այն կարգավորելու իրավունքներ։ Փոխանցեք պորտալի հասցեն ճիշտ այնպես, ինչպես դիտարկիչն է ցույց տալիս, ներառյալ ցանկացած ուղի, որ սարքը սպասում է, ապա ստուգեք հատկացված հասցեն նախքան դրա հետևում ինչ-որ բան փորձարկելը։ Միջերեսը նախապես ստեղծելը հեռացնում է անակնկալների մի դասը տեղադրման ընթացքում։

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Միացեք, ապա ստուգեք հաստատուն հերթականությամբ

Գործարկեք ճիշտ մեկ VPN կառավարիչ միաժամանակ, որովհետև NetworkManager պրոֆիլը և ձեռքով գործարկված դեմոնը կվիճեն երթուղիների և DNS-ի համար։ Իջեցրեք պրոֆիլը նախքան ձեռքով կապը փորձարկելը, և հաստատեք, որ հին թունելի միջերես չի վերապրել։ Այնուհետև ստուգեք այս հերթականությամբ. թունելի հասցե, երթուղի դեպի այն միակ ներքին հոսթը, որ ձեզ պետք է, անունների լուծում, և վերջապես իրական հարցում։ Կանաչ պատկերակը ապացուցում է նույնականացումը և ուրիշ ոչինչ։

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Եթե քայլը ձախողվում է, կանգ առեք այնտեղ՝ հաջորդը փորձարկելու փոխարեն, քանի որ կոտրված երթուղու ներքևում գտնվող DNS ձախողումը ձեզ ոչինչ չի սովորեցնում։ Պահպանեք աշխատող պրոֆիլի պատճենը նախքան փորձարկումները, քանի որ ջնջված կապի ֆայլը հեշտ է կորցնել և դժվար՝ վերակառուցել։ Պահեք առաջարկի արժեքները նույն գրառման մեջ, ինչ սարքի մոդելը և որոնվածքի տարբերակը, քանի որ այդ գրառումը տարբերությունն է միգրացիայի և հնագիտական նախագծի միջև, երբ արկղը փոխարինվի։