Linux-тағы FortiGate IPsec: қай клиент шын мәнінде қосылады

Linux үшін өндіруші клиенті тек SSL VPN сөйлейді. Мобильді IPsec профилін vpnc немесе strongSwan ішінде қайта құру керек, және төрт өріс шлюзбен сәйкесуі тиіс.

Windows-тағы әріптесіңіз FortiGate шеберінің профилін импорттап, бір минутта желіге қосылады. Сіз Ubuntu-ға сол өндірушінің пакетін орнатып, IPsec қойындысын іздейсіз, ал шығатыны — тек SSL VPN порталын ашуға ғана қабілетті клиент. Одан туындайтын қорытынды әдетте екі жағынан да қате: шлюз сізден бас тартып жатқан жоқ, ал Linux жинағы бұзылмаған. Fortinet бұл клиентті тек SSL VPN қолдауымен жеткізеді, сондықтан мобильді IPsec профиліне орын жоқ және оны IKEv1 сөйлейтін жерде қайта құру керек.

Алдымен сізге қай протокол шынымен берілгенін анықтаңыз

Өндіруші клиентін анықтамалық іске асыру ретінде қабылдауды тоқтатқан кезде бұл қайта құру механикалық жұмыс.

FortiGate құрылғылары SSL VPN мен IPsec-ті бірдей жариялайды, ал тапсыру хаты қайсысы берілгенін сирек айтады. Портал URL-і мен браузер стиліндегі кіру беті SSL VPN дегенді білдіреді, ал Linux-та ол жердегі жауап — openfortivpn, төмендегі өрістер сәйкестігі емес. Топ идентификаторы мен алдын ала ортақ кілт мобильді IPsec дегенді білдіреді, оны vpnc мен strongSwan шешеді.

Мұнда қателесу — Linux әрекетінің бірінші фаза аяқталмай тұрып өлуінің ең жиі себебі: клиент HTTPS порталына IKEv1 ұсынып тұр немесе керісінше. Бірдеңе орнатпас бұрын әкімшіден протокол атауын жазбаша сұраңыз.

Төрт куәлік төрт түрлі өріспен жүреді

password сөзі көптеген тапсыруларда екі рет кездеседі және екі түрлі нәрсені білдіреді. Алдын ала ортақ кілт өзінің теңдесін аутентификациялайды, және бұл әкімші шлюз конфигурациясынан оқитын машиналық құпия. Ал тіркелгіңіздің құпиясөзі сол теңдестің артында қандай адам тұрғанын дәлелдейтін бөлек куәлік.

Қалған екі мәнді байқамау оңай. Топ идентификаторы — шебер IPsec топ нысанына жазған жол, ал 0 — бос өріс емес, заңды мән. Ұсыныс әр фаза үшін шифрлауды, хэштеуді және Diffie-Hellman тобын, сондай-ақ PFS параметрін қамтиды, және оның әр элементі шлюзбен сәйкесуі керек. Қосылым 1-фазада сәтсіз болғанда, кінәлі әрдайым дерлік осы төрттің біреуі, сондықтан оларды бір диалогқа тықпай, бөлек жазып алыңыз.

Әр vpnc өрісінде не болуы керек

Клиентті редактор интерфейсімен бірге орнатыңыз, содан кейін VPNC қосылымын жасаңыз:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Шлюзге FortiGate-тің жалпыға қолжетімді мекенжайын, ал топ атауына шлюздегі идентификаторды дәл, жалаң нөлді қоса қойыңыз. Group password алдын ала ортақ кілтті алады, ал пайдаланушы аты мен құпиясөз тіркелгіңізді алады, кез келген токен шлюз күткендей қосылады. Кеңейтілген диалогта ұсыныста аталған Diffie-Hellman тобын таңдаңыз, PFS-ті сол топқа сәйкестендіріңіз, клиент үй маршрутизаторының артында болса NAT өтуін қосыңыз, ал өлі теңдесті анықтауды шлюзбен бір қадамда қалдырыңыз.

Топ атауы — өткізіп жіберетін өріс, себебі ол міндетті емес көрінеді, ал әдепкі нөл орынтолтырғышқа ұқсайды. Оны бос жіберсеңіз, клиент шлюз тексеретін идентификатордан өзгеше жібереді. Профиль әлі де сәтсіз болса, кеңейтілген мәндерді басқа сайттың форум жазбасымен емес, жұмыс істеп тұрған Windows клиентімен салыстырыңыз.

Сол профиль strongSwan үшін жазылған

Бұл мәндер үшін strongSwan жақсырақ ұзақ мерзімді ыдыс, өйткені конфигурация — қарап, сақтауға болатын мәтіндік файл:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Блоктың алдында ұсыныс жолдарын оқыңыз, себебі соңындағы леп белгісі олардың мағынасын өзгертеді: ол дәл сол бір ұсынысты бекітіп, клиент әйтпесе ұсынар альтернативаларды алып тастайды. Бір түрлендіру жұбына конфигурацияланған шлюз тізіммен ашылатын клиенттен бас тартады, сондықтан бекіту келіссөзді сәйкестікке айналдырады. Алгоритмдердің дәл атауларын жұмыс істеп тұрған шлюз профилінен алыңыз да, орынтолтырғыштарды өз мәндеріңізбен алмастырыңыз.

Екі аутентификация жолы артық емес. PSK теңдесті дәлелдейді, XAuth блогы пайдаланушыны дәлелдейді, ал кез келгенін алып тастау шлюз аяқтамайтын фаза қалдырады.

Тағы бір өрісті өзгертуден бұрын сәтсіздікті оқыңыз

Диалогты қайта кездейсоқ етудің орнына симптомнан кері қарай жүріңіз. Берілген мекенжайсыз көтерілген IKE SA пайдаланушы аутентификациясының алмасуы сәтсіз болғанын немесе мүлдем іске қосылмағанын білдіреді, сондықтан тіркелгі мен токен өңдеуін тексеріңіз. Ешқашан аяқталмайтын 1-фаза ұсынысқа, топ идентификаторына немесе агрессивті режимге нұсқайды, және олардың әрқайсысы тек Windows клиентімен емес, шлюзбен салыстырылады.

Құрылып, содан кейін әр бірнеше минут сайын өлетін туннель — екі ұштың арасындағы өлі теңдесті анықтау келіспеушілігі; keepalive-терді барлық жерде өшірудің орнына шлюз таймеріне сәйкестендіріңіз. Орнатылған туннельде кеңсе хосттары қолжетімсіз болып қалса, әдетте итерілген ішкі желі жергілікті маршруттау кестесіне ешқашан түспегенін білдіреді, оны үшінші тарап клиенті өзі жасамауы мүмкін.

Аяқтағанда жұмыс істейтін мәндерді шлюз иесіне қайтарыңыз: протокол, топ идентификаторы, алдын ала ортақ кілт, ұсыныс, PFS және DPD шешімі. Сонда келесі Linux машинасы бүкіл кеш орнына бірнеше минут алады, және ешкім топ атауы нөл болғанын қайта ашуға мәжбүр болмайды.

Қатысты мақалалар