Lagaðu Linux VPN-biðlarann að samskiptareglu gamla tækisins

Fjórar samskiptaregluættir ná yfir nánast hvert tæki sem stendur enn í rekki, og hver þeirra bregst á sinn hátt á Linux. Útgefnum portum og stilltum tillögum fjarlæga endans ræður pakkanum þínum, ekki dreifingunni sem þú keyrir fyrir tilviljun. Að setja upp það sem færsla á vettvangi nefnir og breyta svo þar til eitthvað tengist er leiðin sem síðdegi hverfur á. Lestu tækið, settu upp sem annað, staðfestu sem þriðja.

Skráðu það sem fjarlægi endinn birtir

Skrifaðu niður samskiptaregluna, portin og auðkenninguna sem tækið væntir áður en þú opnar pakkastjóra. Fjórar ættir ná yfir mestan hluta gamalla búnaðar, og taflan hér að neðan er öll ákvörðunin á einum skjá.

Handbókin og eigin eldveggjarreglur tækisins eru áreiðanlegri en heiti samskiptareglunnar á innskráningarsíðu þess. Tæki sem auglýsir IPsec talar kannski aðeins IKEv1, og útgáfa af fastbúnaði sem enginn setti upp er kannski það sem bætir IKEv2 við að lokum. Staðfestu bæði gagnaleiðina og uppsetningarportið, því þar greinir gamall búnaður og nútímakerfi á. Að gera mistök í þessu skrefi þýðir að kemba biðlarann þinn gegn eiginleika sem hinn endinn hafði aldrei.

PPTP: sannaðu GRE áður en þú breytir pppd

PPTP á Linux er ekki dæmon sem þú ræsir heldur kall á pppd, og tengistillingarnar búa í nafngreindri peer-skrá sem pppd les þegar hann er kallaður. Dreifingar pakka því enn, þótt þekktir veikleikar samskiptareglunnar geri það óhæft fyrir nokkuð viðkvæmt, svo haltu því stranglega fyrir tæki sem býður ekkert annað. Fylgstu með GRE meðan biðlarinn semur, með stuttri skráningu frekar en ágiskun. Bilunin sem eyðir mestum tíma er ekki auðkenningin heldur gagnaleiðin sem vantar.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Ef uppsetningu lýkur og tengingin flytur aldrei umferð, grunaðu GRE-leiðina áður en þú snertir skilríki. Öryggishópar í skýinu þurfa skýra reglu fyrir samskiptareglu 47, og sum kerfi loka henni algjörlega án sýnilegrar villu. Prófaðu úr kerfinu sem þú munt raunverulega nota, ekki úr rannsóknarstofu sem leyfir allt.

L2TP/IPsec: ein rétt tillaga vinnur tíu tilraunir

Lestu annál dæmonsins frekar en gluggann á skjáborðinu, því glugginn færir nokkrar ólíkar bilanir saman í eina skilaboð. Villa NO_PROPOSAL_CHOSEN tilheyrir fyrsta fasa: biðlarinn bauð dulkóðun, hass eða Diffie-Hellman-hóp sem netþjónninn tekur ekki. Teldu upp hvað tækið styður og skrifaðu eina tillögu sem passar, því slembikombínur gefa oftast sömu villu hægar. Á skjáborði er hagnýti biðlarinn NetworkManager L2TP-viðbótin með strongSwan eða Libreswan undir.

Tillögustrengur sem þýðir eitt fyrir viðbót á skjáborði getur þýtt eitthvað annað fyrir dæmoninn sem hann afhendir verkið, svo haltu setningafræðinni við hæfi fyrir lagið sem þú breytir. Ef tækið krefst líka gönguleyndar er það sérstakt stig frá IPsec-lyklinum. Staðfestu hvorrar tveggja viðmótið spyr áður en þú slærð eitthvað inn í það.

Árásargjarn IKEv1 með XAuth, og málið með gáttina

Endapunktur í stíl FortiGate vill venjulega árásargjarnan ham með XAuth og heimilisfang í stilltum ham, sem myndræn viðbót kann að sýna alls ekki. Innfæddi dæmoninn sér um það, og blokkin hér að neðan er mynd þeirrar stillingar, ekki heil skrá. Skoðaðu núgildandi skjöl framleiðandans fyrir tillögugildin.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Eldri útgáfur strongSwan notuðu xauth=client þar sem útgáfa 5 notar leftauth2=xauth, svo afritað brot getur brugðist eingöngu vegna setningafræði. Fyrir TLS-gátt sér openconnect, sem talar AnyConnect-samskiptaregluna, um Cisco og flest endurmerkt vörumerki, og það þarf TUN-tæki auk réttinda til að stilla það. Farðu með heimilisfang gáttarinnar nákvæmlega eins og vafrinn sýnir það, þar á meðal hverja slóð sem tækið væntir, og athugaðu svo úthlutað heimilisfang áður en þú prófar eitthvað fyrir aftan hana. Að búa til viðmótið fyrirfram fjarlægir einn flokk óvæntra atvika við uppsetninguna.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Tengdu, staðfestu svo í föstum röðum

Keyrðu nákvæmlega einn VPN-stjóra í einu, því NetworkManager-snið og dæmon sem ræstur er fyrir hönd munu slást um leiðir og DNS. Taktu sniðið niður áður en þú prófar handvirka tengingu, og staðfestu að ekkert gamalt gönguviðmót lifi af. Staðfestu svo í þessari röð: gönguheimilisfang, leið að eina innri vélinni sem þú þarfnast, nafnupplausn og að lokum raunveruleg beiðni. Grænt tákn sannar auðkenningu og ekkert annað.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Ef skref bregst, stoppaðu þar í stað þess að prófa það næsta, því DNS-bilun neðan við brotna leið kennir þér ekkert. Vistaðu afrit af virka sniðinu áður en þú gerir tilraunir, því eytt tengiskrá tapast auðveldlega og er erfitt að endurbyggja. Haltu tillögugildunum í sama minnisblaði og tækjamódelið og útgáfu fastbúnaðarins, því það minnisblað er munurinn á flutningi og fornleifaverkefni þegar kassinn er skipt út.