FortiGate IPsec Linux-ზე: რომელი კლიენტი უერთდება სინამდვილეში

თქვენი Windows-ის კოლეგა შემოიტანს FortiGate-ის ოსტატის პროფილს და ერთ წუთში ონლაინ არის. თქვენ იმავე მომწოდებლის პაკეტს აყენებთ Ubuntu-ზე, ეძებთ IPsec-ის ჩანართს და პოულობთ კლიენტს, რომელმაც მხოლოდ SSL VPN-ის პორტალის გახსნა იცის. შემდგომი დასკვნა ჩვეულებრივ ორმაგად მცდარია: კარიბჭე არ გიწვევთ უარს და Linux-ის აწყობა არ არის გატეხილი. Fortinet ამ კლიენტს მხოლოდ SSL VPN-ის მხარდაჭერით აწვდის, ამიტომ მობილურ IPsec პროფილს საცხოვრებელი ადგილი არ აქვს და ხელახლა უნდა აშენდეს იქ, სადაც IKEv1-ზე საუბრობენ.

ჯერ გადაწყვიტეთ, რომელი პროტოკოლი მოგცეს სინამდვილეში

ეს ხელახალი აწყობა მექანიკურია, როგორც კი შეწყვეტთ მომწოდებლის კლიენტის საცნობარო იმპლემენტაციად მიჩნევას.

FortiGate-ის მოწყობილობები აქვეყნებენ როგორც SSL VPN-ს, ისე IPsec-ს, და გადაცემის წერილი იშვიათად ამბობს, რომელი მოგცეს. პორტალის URL პლუს ბრაუზერის სტილის შესვლის გვერდი ნიშნავს SSL VPN-ს, და Linux-ზე იქ პასუხია openfortivpn, და არა ქვემოთ მოცემული ველების შესაბამისობა. ჯგუფის იდენტიფიკატორი პლუს წინასწარ გაზიარებული გასაღები ნიშნავს მობილურ IPsec-ს, რასაც vpnc და strongSwan უმკლავდებიან.

ამაში შეცდომა Linux-ის მცდელობის პირველი ფაზის დასრულებამდე მოკვდის ყველაზე გავრცელებული მიზეზია: კლიენტი HTTPS პორტალს IKEv1-ს სთავაზობს ან პირიქით. რაიმეს დაყენებამდე წერილობით სთხოვეთ ადმინისტრატორს პროტოკოლის სახელი.

ოთხი სერტიფიკატი ოთხ სხვადასხვა ველში მოგზაურობს

სიტყვა password უმეტეს გადაცემებში ორჯერ გვხვდება და ორ სხვადასხვა რამეს ნიშნავს. წინასწარ გაზიარებული გასაღები თავად პირს ამოწმებს და ეს მანქანური საიდუმლოა, რომელსაც ადმინისტრატორი კარიბჭის კონფიგურაციიდან კითხულობს. თქვენი ანგარიშის პაროლი ცალკე სერტიფიკატია, რომელიც ამტკიცებს, რომელი ადამიანი დგას ამ პირის უკან.

დანარჩენი ორი მნიშვნელობის გამოტოვება უფრო ადვილია. ჯგუფის იდენტიფიკატორი არის ის სტრიქონი, რომელიც ოსტატმა IPsec ჯგუფის ობიექტში ჩაწერა, და 0 ლეგიტიმური მნიშვნელობაა და არა ცარიელი ველი. წინადადება მოიცავს დაშიფვრას, ჰეშირებას და Diffie-Hellman ჯგუფს თითოეული ფაზისთვის, ასევე PFS პარამეტრს, და მისი ყოველი პუნქტი კარიბჭეს უნდა შეესაბამებოდეს. როცა კავშირი 1-ლ ფაზაზე ფეილდება, თითქმის ყოველთვის ამ ოთხიდან ერთია დამნაშავე, ამიტომ დაწერეთ ისინი ცალ-ცალკე და ნუ ჩასვამთ ერთ დიალოგში.

რა უნდა შეიცავდეს vpnc-ის თითოეული ველი

დააყენეთ კლიენტი რედაქტორის ინტერფეისთან ერთად, შემდეგ შექმენით VPNC კავშირი:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

კარიბჭეზე დააყენეთ FortiGate-ის საჯარო მისამართი, ხოლო ჯგუფის სახელზე ზუსტად კარიბჭის იდენტიფიკატორი, შიშველი ნულის ჩათვლით. Group password იღებს წინასწარ გაზიარებულ გასაღებს, ხოლო მომხმარებლის სახელი და პაროლი — თქვენს ანგარიშს, ნებისმიერი ტოკენით დამატებული ისე, როგორც კარიბჭე ელის. გაფართოებულ დიალოგში აირჩიეთ ის Diffie-Hellman ჯგუფი, რომელსაც წინადადება ასახელებს, შეუსაბამეთ PFS იმავე ჯგუფს, ჩართეთ NAT-ის გავლა, როცა კლიენტი სახლის როუტერის უკანაა, და დატოვეთ მკვდარი პირის ამოცნობა კარიბჭის იმავე ნაბიჯზე.

ჯგუფის სახელი ის ველია, რომელიც გამოტოვებულია, რადგან არასავალდებულო ჩანს და ნაგულისხმევი ნული ჩამჭიდის მსგავსია. გაგზავნეთ ცარიელი და კლიენტი სხვა იდენტიფიკატორს გადასცემს, ვიდრე კარიბჭე ამოწმებს. თუ პროფილი მაინც ფეილდება, შეადარეთ გაფართოებული მნიშვნელობები მოქმედ Windows კლიენტს და არა სხვა საიტის ფორუმის პოსტს.

იგივე პროფილი strongSwan-ისთვის დაწერილი

strongSwan ამ მნიშვნელობებისთვის უკეთესი გრძელვადიანი კონტეინერია, რადგან კონფიგურაცია ტექსტური ფაილია, რომლის გადახედვაც და შენახვაც შეგიძლიათ:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

წაიკითხეთ წინადადების სტრიქონები ბლოკამდე, რადგან ბოლო ძახილის ნიშანი მათ მნიშვნელობას ცვლის: ის ამ ერთ წინადადებას ამაგრებს და შლის ალტერნატივებს, რომლებსაც კლიენტი სხვაგვარად შესთავაზებდა. ერთი გარდაქმნის წყვილზე კონფიგურირებული კარიბჭე უარს იტყვის კლიენტზე, რომელიც სიით იხსნება, ამიტომ სწორედ დამაგრება აქცევს მოლაპარაკებას დამთხვევად. აიღეთ ალგორითმების ზუსტი სახელები მოქმედი კარიბჭის პროფილიდან და ჩამჭიდები შეცვალეთ საკუთარი მნიშვნელობებით.

აუტენტიფიკაციის ორი სტრიქონი ზედმეტი არ არის. PSK პირს ამტკიცებს, XAuth ბლოკი მომხმარებელს, და რომელიმეს გამოტოვება ტოვებს ფაზას, რომელსაც კარიბჭე არ დაასრულებს.

წაიკითხეთ წარუმატებლობა, სანამ კიდევ ერთ ველს შეცვლით

იმუშავეთ სიმპტომიდან უკუღმა და ნუ გააკეთებთ დიალოგს ისევ შემთხვევითს. გამოყოფილი მისამართის გარეშე ამომავალი IKE SA ნიშნავს, რომ მომხმარებლის აუტენტიფიკაციის გაცვლა ჩავარდა ან საერთოდ არ გაშვებულა, ამიტომ შეამოწმეთ ანგარიში და ტოკენის დამუშავება. არასდროს დასრულებადი 1-ლი ფაზა მიუთითებს წინადადებაზე, ჯგუფის იდენტიფიკატორზე ან აგრესიულ რეჟიმზე, და თითოეული მათგანი კარიბჭეს შედარებულია და არა მხოლოდ Windows კლიენტს.

გვირაბი, რომელიც აგებულია და შემდეგ ყოველ რამდენიმე წუთში კვდება, ორ ბოლოს შორის მკვდარი პირის ამოცნობის უთანხმოებაა; კარიბჭის ტაიმერს შეუსაბამეთ და ყველგან keepalive-ები ნუ გამორთავთ. დადგენილი გვირაბი, სადაც ოფისის ჰოსტები მიუწვდომელი რჩება, ჩვეულებრივ ნიშნავს, რომ გაგზავნილი ქვექსელი ვერასდროს მოხვდა ლოკალურ მარშრუტიზაციის ცხრილში, რასაც მესამე მხარის კლიენტი შეიძლება თავად არ აკეთებდეს.

დასრულებისას დაუბრუნეთ მოქმედი მნიშვნელობები კარიბჭის მფლობელს: პროტოკოლი, ჯგუფის იდენტიფიკატორი, წინასწარ გაზიარებული გასაღები, წინადადება, PFS და DPD-ის გადაწყვეტილება. მაშინ შემდეგ Linux მანქანას მთელი საღამოს ნაცვლად წუთები დასჭირდება, და არავის მოუწევს ხელახლა აღმოაჩინოს, რომ ჯგუფის სახელი ნული იყო.