Fortinet Linux клиенті: жөндеу алдында шлюзді тексеріңіз

Мұрағатталған нұсқаулық 32 биттік кітапханаларды орнатуды, GTK тақырыбын патчтауды және орнатушыны терминалдан іске қосуды айтады. Бұл кеңестің бір бөлігі нақты клиент шығарылымы үшін дұрыс болды және оның ешқандай бөлігі шлюз енді ұсынбайтын туннель режимін қайтара алмайды. Пакетті өзгерту алдында сәтсіз аяқталған бірінші кезеңді табыңыз. Бұл шлюзден ішке қарай жүреді, өйткені жауаптар сонда арзан және дұрыс емес жергілікті түзету ең көп уақытты алады.

Тексеру 1: сәтсіз аяқталған кезеңді атаңыз

Үш кезең әртүрлі түрде сәтсіз аяқталады. Бағдарлама іске қосылмайды, іске қосылып сервердің жеке басын қабылдамайды, немесе қосылады да шлюзде сізге қажет түрдегі қызмет жоқ болады. Әрбір сәтсіздік өз дәлелін қалдырады: жүктеуші қатесі, сертификат туралы хабарлама, қолжетімсіз режимді атайтын шлюз жауабы.

Бірдеңеге тиіспес бұрын мұны жазып алыңыз. Осы нүктеден кейінгінің бәрі қай кезеңді атағаныңызға байланысты және үш түзетудің ортақ ештеңесі жоқ.

Тексеру 2: шлюздің шығарылымы және туннель режимі

Қазіргі шлюздерде туннель режимі жоғалды және FortiClient 7.4.4-тің Linux-пен интеграция кестесі бұл жазылған орын: FortiOS 7.6.3 және одан жаңа нұсқалар SSL VPN туннель режимін енді ұсынбайды және әкімшілерді IPsec-ке бағыттайды. Бұл сөйлемді қайталағанда өнімді, шығарылымды және режимді сол сөйлемге байлап ұстаңыз. Ол әрбір Fortinet өнімі туралы ештеңе айтпайды және әлі бар веб-қатынас мүмкіндіктері туралы да ештеңе айтпайды. Жалпы нұсқа үйлесімділігі мен бір туннель режимінің қолжетімділігі бөлек тексерулер.

Шлюз иесінен екі нәрсені сұраңыз: шлюз қай шығарылымды іске қосады және бүгін қандай қатынас әдістері қосылған. Жауапты жазбаша сұраңыз, шығарылым жолымен және ол келген параметрлер бетімен немесе конфигурация жолымен бірге, өйткені ауызша сендіру адамдарды мұрағатталған нұсқаулыққа қайта жібереді. Содан кейін бұл жауапты шлюз жазбаларымен немесе жеткізушінің матрицасымен дәл сол шығарылым үшін салыстырыңыз. Веб-порталды көрсететін браузер порталдың жауап беретінін дәлелдейді, одан артық емес.

Тексеру 3: иесі мақұлдаған клиент басылымы

Мақұлданған Linux клиент басылымы мен нұсқасын алыңыз, содан кейін оның қолдайтын операциялық жүйесін, архитектурасын, жұмыс үстелін және аутентификация ағынын тексеріңіз. 7.4.4 матрицасы нұсқаға байланған мысал, ең жаңа клиентке ұсыныс емес және әрбір туынды үшін уәде емес. Ие нақты қай клиентті қолдайтынын сұраңыз, өйткені бұл жауап көшудің бөлігі, кейінгі ой емес. Бірінші пакеті шлюзге жетпей тұрып өлетін клиент ноутбук туралы бірдеңе дәлелдейді, қызмет туралы емес.

32 биттік кітапханалар мен патчталған тақырып бинарлық файлдың нені жүктей алатынын өзгертеді; олар жеткізушінің нені қолдайтынын өзгертпейді. Егер операциялық жүйе немесе аутентификация ағыны матрицадан тыс болса, біліктілік сұрағына әлдеқашан жауап берілген.

Тексеру 4: ауыстыру профилін сұраңыз

Егер ұйым SSL VPN туннель режимінен IPsec-ке көшсе, жаңа профильді және тіркеу процедурасын сол әңгімеде сұраңыз. SSL конфигурациясының атын өзгертіп, өрістердің көшетінін болжамаңыз: IPsec профилі IKE нұсқасын, қашықтағы шлюзді және оның жеке басын, аутентификация әдісін және әр тарап қабылдайтын трафик селекторларын атайды. Тіркелгі және құрылғы саясаты басқаша қолданылуы да мүмкін. Атын өзгерту конфигурацияланған болып көрінетін және ештеңе келіспейтін клиент тудырады.

Профильге сенбес бұрын оны оқыңыз. Онда IKE нұсқасы мен ұсыныстар, аутентификация сертификатты немесе алдын ала бөлісілген кілтті пайдаланатыны, қай жергілікті және қашықтағы ішкі желілер таңдалғаны және шлюз өз жеке басы ретінде нені күтетіні көрсетілуі керек. Мақұлданған Linux клиенті бұл орналасуды қолдайтынын растаңыз, өйткені көшіру құжаты әрбір клиент шығарылымы үшін функциялар теңдігі туралы мәлімдеме емес. openfortivpn сияқты тәуелсіз клиент OpenVPN интерпретаторы емес, сондықтан атында SSL бар кез келген басқа нәрсені иесі осы режим, осы кіру ағыны және осы құрылғы саясаты үшін басқаша айтпайынша мақұлданбаған деп санаңыз.

Тексеру 5: жергілікті тәуелділіктер, содан кейін валидациялау және жазу

Шлюз бен клиент шешілген соң, іске қосылмау қаптама мәселесі және қолдау көрсетілетін пакеттің өз нұсқаулары ұстануға тиіс сілтеме болып табылады. TLS жеке басының сәтсіздігі операторға тиесілі: сенім анкерлері мен күтілетін атау оның конфигурациясы, жергілікті түрде айналып өтетін нәрсе емес. Мұрағатталған нұсқаулық бір кездері пайдалы болған екі кезең осы.

Екеуінің ешқайсысы белгісіз сертификатты қабылдаумен немесе құрылғы күйін тексеруді өшірумен шешілмейді. MFA және құрылғы тексерулерін орнында ұстаңыз, өйткені оларды әлсірету арқылы байланысты қалпына келтіру үзілісті оқиғаға айырбастайды. Егер режим кетсе, ешбір жергілікті жалауша оны қайтармайды.

Мақұлданған өзгерістен кейін көзделген жеке ресурсқа жетіңіз, DNS шешімін растаңыз және бір рет қайта қосылыңыз. Клиентті, платформаны, шлюз шығарылымын және туннель режимін бірге жазып алыңыз, өйткені келесі адамға төртеуі де қажет. Сәтті ашылатын бағдарлама жергілікті іске қосу кезеңінен өтті, одан басқа ештеңе емес.