FortiGate IPsec di Linux: klien mana yang benar-benar terhubung

Rekan Windows Anda mengimpor profil wizard FortiGate dan daring dalam satu menit. Anda memasang paket vendor yang sama di Ubuntu, mencari tab IPsec, dan menemukan klien yang hanya tahu membuka SSL VPN. Kesimpulan yang menyusul biasanya salah dua kali: gateway tidak menolak Anda, dan build Linux tidak rusak. Fortinet mengirim klien itu hanya dengan dukungan SSL VPN, jadi profil IPsec seluler tidak punya tempat tinggal dan harus dibangun ulang di tempat yang berbicara IKEv1.

Pertama, tentukan protokol mana yang sebenarnya Anda dapat

Pembangunan ulang itu mekanis begitu Anda berhenti memperlakukan klien vendor sebagai implementasi acuan.

Perangkat FortiGate menerbitkan SSL VPN dan IPsec, dan surel serah-terima jarang menyebut mana yang Anda dapat. URL portal plus halaman masuk bergaya peramban berarti SSL VPN, dan di Linux jawabannya adalah openfortivpn, bukan pemetaan kolom di bawah. Pengenal grup plus kunci yang dibagikan sebelumnya berarti IPsec seluler, yang ditangani vpnc dan strongSwan.

Salah di sini adalah alasan paling umum percobaan Linux mati sebelum fase pertama selesai: klien menawarkan IKEv1 ke portal HTTPS atau sebaliknya. Mintalah nama protokol secara tertulis dari administrator sebelum memasang apa pun.

Empat kredensial berjalan di empat kolom berbeda

Kata password muncul dua kali di sebagian besar serah-terima dan berarti dua hal berbeda. Kunci yang dibagikan sebelumnya mengautentikasi peer itu sendiri, dan itu rahasia mesin yang dibaca administrator dari konfigurasi gateway. Kata sandi akun Anda adalah kredensial terpisah yang membuktikan manusia mana yang berada di balik peer itu.

Dua nilai lainnya lebih mudah terlewat. Pengenal grup adalah string yang ditulis wizard ke objek grup IPsec, dan 0 adalah nilai sah, bukan kolom kosong. Proposal mencakup enkripsi, hashing, dan grup Diffie-Hellman untuk setiap fase, plus pengaturan PFS, dan setiap butirnya harus cocok dengan gateway. Saat koneksi gagal di fase 1, hampir selalu salah satu dari empat itu penyebabnya, jadi catat terpisah alih-alih menumpuknya dalam satu dialog.

Apa yang harus dimuat setiap kolom vpnc

Pasang klien bersama antarmuka editor, lalu buat koneksi VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Setel gateway ke alamat publik FortiGate, dan setel nama grup persis ke pengenal dari gateway, termasuk nol telanjang. Group password mengambil kunci yang dibagikan sebelumnya, sedangkan nama pengguna dan kata sandi mengambil akun Anda, dengan token apa pun ditambahkan seperti yang diharapkan gateway. Di dialog lanjutan, pilih grup Diffie-Hellman yang disebut proposal, cocokkan PFS ke grup yang sama, aktifkan NAT traversal saat klien berada di belakang router rumah, dan biarkan deteksi peer mati selaras dengan gateway.

Nama grup adalah kolom yang dilewati, karena tampak opsional dan nilai bawaan nol menyerupai placeholder. Kirim kosong dan klien mengirim pengenal berbeda dari yang divalidasi gateway. Jika profil masih gagal, bandingkan nilai lanjutan dengan klien Windows yang berfungsi, bukan dengan kiriman forum untuk situs lain.

Profil yang sama ditulis untuk strongSwan

strongSwan adalah wadah jangka panjang yang lebih baik untuk nilai-nilai ini, karena konfigurasinya berkas teks yang dapat Anda tinjau dan simpan:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Baca baris proposal sebelum blok, karena tanda seru di akhir mengubah maknanya: tanda itu memaku satu proposal tersebut dan menghapus alternatif yang sebaliknya ditawarkan klien. Gateway yang dikonfigurasi untuk satu pasangan transformasi akan menolak klien yang membuka dengan daftar, jadi pemakuan itulah yang mengubah negosiasi menjadi kecocokan. Ambil nama algoritme yang tepat dari profil gateway yang berfungsi, dan ganti placeholder dengan nilai Anda sendiri.

Dua baris autentikasi itu tidak berlebihan. PSK membuktikan peer, blok XAuth membuktikan pengguna, dan menghilangkan salah satunya menyisakan fase yang tidak akan diselesaikan gateway.

Baca kegagalan sebelum mengubah kolom lain

Bekerjalah mundur dari gejala alih-alih mengacak dialog lagi. IKE SA yang naik tanpa alamat yang diberikan berarti pertukaran autentikasi pengguna gagal atau tidak pernah berjalan, jadi periksa akun dan penanganan token. Fase 1 yang tidak pernah selesai menunjuk ke proposal, pengenal grup, atau mode agresif, dan masing-masing dibandingkan dengan gateway, bukan hanya dengan klien Windows.

Tunnel yang terbentuk lalu mati setiap beberapa menit adalah ketidaksepakatan deteksi peer mati antara kedua ujung; cocokkan timer gateway alih-alih mematikan keepalive di mana-mana. Tunnel yang terbentuk tetapi host kantor tetap tak terjangkau biasanya berarti subnet yang didorong tidak pernah masuk tabel perutean lokal, yang mungkin tidak dilakukan klien pihak ketiga sendiri.

Kembalikan nilai yang berfungsi kepada pemilik gateway saat Anda selesai: protokol, pengenal grup, kunci yang dibagikan sebelumnya, proposal, PFS, dan keputusan DPD. Mesin Linux berikutnya lalu butuh beberapa menit alih-alih sepanjang malam, dan tak ada yang perlu menemukan lagi bahwa nama grup adalah nol.