FortiGate IPsec á Linux: hvaða biðlari tengist í raun

Windows-kollegan þinn flytur inn FortiGate-leiðsagnarprófíl og er á netinu á einni mínútu. Þú setur upp sama pakkann frá birgjanum á Ubuntu, leitar að IPsec-flipa og finnur biðlara sem kann aðeins að opna SSL VPN gátt. Ályktunin sem fylgir er venjulega röng tvisvar: gáttin er ekki að hafna þér, og Linux-útgáfan er ekki biluð. Fortinet sendir þann biðlara aðeins með SSL VPN-stuðningi, svo farsíma-IPsec-prófíll hefur engan stað að vera á og verður að endurreisa þar sem talað er IKEv1.

Ákveddu fyrst hvaða samskiptareglur þú fékkst í raun

Sú endurreisn er vélræn um leið og þú hættir að líta á biðlara birgjans sem viðmiðunarútfærsluna.

FortiGate-tæki birta bæði SSL VPN og IPsec, og afhendingarpósturinn segir sjaldan hvoru þú fékkst. Gáttar-URL auk innskráningarsíðu í vafrastíl þýðir SSL VPN, og á Linux er svarið þar openfortivpn, ekki reitavörpunin hér fyrir neðan. Hópauðkenni auk fyrirfram deilds lykils þýðir farsíma-IPsec, sem vpnc og strongSwan sjá um.

Að gera þetta rangt er algengasta ástæðan fyrir því að Linux-tilraun deyr áður en fyrsti áfangi klárast: biðlarinn býður HTTPS-gátt IKEv1 eða öfugt. Biddu kerfisstjórann um heiti samskiptareglnanna skriflega áður en þú setur upp nokkuð.

Fjögur skilríki ferðast í fjórum mismunandi reitum

Orðið password kemur tvisvar fyrir í flestum afhendingum og þýðir tvo mismunandi hluti. Fyrirfram deildi lykillinn sannar jafningjann sjálfan, og það er vélarleyndarmál sem kerfisstjórinn les úr stillingum gáttarinnar. Lykilorð reikningsins þíns er sérstakt skilríki sem sannar hvaða manneskja stendur á bak við þann jafningja.

Hin tvö gildin er auðveldara að missa af. Hópauðkennið er strengurinn sem leiðsögnin skrifaði í IPsec-hópobjektið, og 0 er löglegt gildi en ekki tómur reitur. Tillagan nær yfir dulkóðun, hass og Diffie-Hellman-hóp fyrir hvern áfanga, auk PFS-stillingarinnar, og hver liður í henni verður að passa við gáttina. Þegar tenging mistekst í áfanga 1 er nánast alltaf einn af þessum fjórum sekur, svo skrifaðu þá niður sér í stað þess að henda þeim í einn glugga.

Hvað hver vpnc-reitur verður að innihalda

Settu biðlarann upp ásamt ritstjóraviðmótinu og búðu svo til VPNC-tengingu:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Stilltu gáttina á opinbert vistfang FortiGate og hópnafnið nákvæmlega á auðkennið frá gáttinni, þar með talið bert núll. Group password tekur fyrirfram deilda lykilinn, en notandanafn og lykilorð taka reikninginn þinn, með hvaða tóken sem er bætt við eins og gáttin ætlast til. Í ítarlegum glugga skaltu velja Diffie-Hellman-hópinn sem tillagan nefnir, laga PFS að sama hópi, virkja NAT-för þegar biðlarinn er á bak við heimilisbeini og láta skynjun dauðs jafningja fylgja gáttinni.

Hópnafnið er reiturinn sem er sleppt, því hann virðist valfrjáls og sjálfgefið núll líkist staðgengli. Sendu hann tóman og biðlarinn sendir annað auðkenni en það sem gáttin staðfestir. Ef prófíllinn mistekst enn skaltu bera ítarlegu gildin saman við virkandi Windows-biðlarann en ekki við spjallborðsfærslu fyrir aðra síðu.

Sami prófíll skrifaður fyrir strongSwan

strongSwan er betri langtímaílátið fyrir þessi gildi, þar sem stillingin er textaskrá sem þú getur farið yfir og geymt:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Lestu tillögulínurnar fyrir blokkinna, því upphrópunarmerkið aftast breytir merkingu þeirra: það festir þá einu tillögu og fjarlægir valkostina sem biðlarinn myndi annars bjóða. Gátt sem er stillt fyrir eitt umbreytingarpar mun hafna biðlara sem opnast með lista, svo festingin er það sem breytir samningaviðræðum í samsvörun. Taktu nákvæm reikniritsheiti úr virkandi gáttarprófílnum og skiptu staðgenglunum út fyrir þín eigin gildi.

Sannvottunarlínurnar tvær eru ekki óþarfar. PSK sannar jafningjann, XAuth-blokkin sannar notandann, og að sleppa hvorri sem er skilur eftir áfanga sem gáttin klárar ekki.

Lestu mistökin áður en þú breytir öðrum reit

Vinndu afturábak frá einkenninu í stað þess að slembiraða glugganum aftur. IKE SA sem rís án úthlutaðs vistfangs þýðir að sannvottunarskiptin við notandann mistókust eða runnu aldrei, svo athugaðu reikninginn og meðferð tókensins. Áfangi 1 sem klárast aldrei bendir á tillöguna, hópauðkennið eða árásargjarnan ham, og hvert þeirra er borið saman við gáttina, ekki bara Windows-biðlarann.

Tunnill sem kemst á og deyr svo á nokkrum mínútum er ágreiningur um skynjun dauðs jafningja milli endanna tveggja; lagaðu tímaröð gáttarinnar í stað þess að slökkva á keepalive alls staðar. Tunnill sem er kominn á en þar sem skrifstofuhýslar eru áfram óaðgengilegir þýðir venjulega að ýttu undirnetið lenti aldrei í staðbundnu leiðsögnartöflunni, sem biðlari frá þriðja aðila gerir kannski ekki sjálfur.

Skilaðu virku gildunum til eiganda gáttarinnar þegar þú ert búinn: samskiptareglur, hópauðkenni, fyrirfram deildur lykill, tillaga, PFS og DPD-ákvörðunin. Næsta Linux-vél tekur þá mínútur í stað kvölds, og enginn þarf að uppgötva aftur að hópnafnið var núll.