ARM ビルドは Raspberry Pi への FortiClient サポートではない

Raspberry Pi で VPN クライアントを動かすことと、そこで FortiClient がサポートされることは同じではない。この会話では三つの主張が混ざっている。ベンダーがあるプラットフォームを適格と認めること、誰かがプロセッサ向けにバイナリをビルドすること、そしてゲートウェイがそのクライアントのプロトコルと登録を許可することだ。三つのうち一つ見つけても、残り二つについては何も分からない。この順に確認し、失敗したところで止める。それが解くべき問題だからだ。

第一の手順：自分の正確なパッケージのリリースノート行を読む

サポートの記述はバージョンに縛られるので、組織が承認したパッケージのリリースノートから始める。具体例として、FortiClient Standalone 7.4.7 の表は GNOME 付きの Ubuntu 22.04 と 24.04、Red Hat 9、CentOS Stream 9 を挙げている。その Linux プロセッサ要件は Intel または同等と書かれている。

Raspberry Pi OS はその一覧の Linux 環境のどれでもない。これは FortiClient のすべてのエディションへの判定でも、今後のリリースの予測でもない。あの文書のあの行についての記述だ。実際に配備する予定のバージョンの表を読むこと。

Windows や macOS の行のプロセッサ注記を Linux の行に持ち込まないこと。ベンダーはエディションごと、リリースごとにプラットフォームを文書化しており、ある行に当てはまる注記は別の行の根拠にはならない。

第二の手順：Pi が何を動かしているか確認する

ダウンロードの前に、三つのコマンドで手元の事実を確定する。

uname -m
cat /etc/os-release
dpkg --print-architecture

一つ目はカーネルのアーキテクチャ、二つ目はディストリビューションとリリース、三つ目はパッケージをビルドする対象のユーザー空間アーキテクチャを示す。64 ビットカーネルに 32 ビットのユーザー空間という構成はあり得るし、必要なパッケージが変わる。

次に、そのプラットフォームで実際に何が利用できるか確認する。Debian trixie の公開パッケージ表には openfortivpn の arm64 と armhf のビルドが含まれる。これはそのディストリビューションでのアーキテクチャの可用性を示す。Fortinet が派生ディストリビューションで FortiClient を適格と認めることや、組織のゲートウェイがそのクライアントを受け入れることは示さない。

古いリリースのキャッシュ済みパッケージやフォーラムのビルド失敗報告ではなく、サポートされたパッケージと現行リリースの文書を使う。グラフィカルなフロントエンドがあるなら別途適格性を確認すること。コマンドラインのビルドが動くからといって、エディタ、秘密情報の保管、デスクトップ用ラッパーの監督が保守されている証拠にはならない。

第三の手順：クライアントを責める前にゲートウェイを確認する

Upstream は openfortivpn を pppd を起動する PPP かつ TLS のクライアントと説明している。これは特定の実装であり、ゲートウェイが互換モードを提供する必要がある。サーバーのブランド名はプロトコルの合意ではない。

ゲートウェイのリリースと有効なアクセス方式、承認されたホスト名とその信頼材料、サービスが要求する本人確認の流れを集める。第二要素やデバイスポスチャー確認も含む。管理された配備では、第三者クライアントには実行しようがない登録手順が必要になることがある。

接続は管理者のアカウントではなく、自分に発行されたアカウントで試すこと。登録とポリシーは通常ユーザーに紐づくからだ。

sudo openfortivpn vpn.example.com:443 -u <username>

終了コードだけでなく、失敗の中身を読む。証明書エラー、PPP のタイムアウト、ポリシーによる拒否は三つの別の問題であり、ARM に関わるのは一つだけだ。

第四の手順：合意の範囲内で、実機で受け入れる

実際のプライベート資源、トンネル経由の DNS 解決、ネットワーク断からの再接続で設定を受け入れる。そのうえで、到達できないままであるべき宛先が今も失敗することを確認する。到達できることだけではポリシーが正しい証拠にならない。

四つの事実をまとめて記録する。OS のリリース、ユーザー空間アーキテクチャ、クライアントパッケージのバージョン、ゲートウェイのモードだ。四つそろわなければ、次の人はその設定がサポートされているのか、単に動いているだけなのか判断できない。

Pi では満たせない管理された FortiClient 環境を雇用主が求めるなら、承認されたエンドポイントか承認されたアクセス用ホストを申請する。ピア検証を無効にしたり、ポスチャー確認を模倣したり、一台のために組織のゲートウェイを置き換えたりしてはいけない。書くべき結論は、どのサポートされた組み合わせが認められているかであり、クローズドソースのソフトが ARM を対象にできないという話ではない。