Linux ನಲ್ಲಿ FortiGate IPsec: ಯಾವ ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಸಂಪರ್ಕಿಸುತ್ತದೆ

ನಿಮ್ಮ Windows ಸಹೋದ್ಯೋಗಿ FortiGate ವಿಝಾರ್ಡ್ ಪ್ರೊಫೈಲ್ ಆಮದು ಮಾಡಿ ಒಂದು ನಿಮಿಷದಲ್ಲಿ ಆನ್‌ಲೈನ್ ಆಗುತ್ತಾರೆ. ನೀವು ಅದೇ ವೆಂಡರ್ ಪ್ಯಾಕೇಜ್ ಅನ್ನು Ubuntu ನಲ್ಲಿ ಸ್ಥಾಪಿಸಿ, IPsec ಟ್ಯಾಬ್ ಹುಡುಕಿ, ಮತ್ತು ಕೇವಲ SSL VPN ಪೋರ್ಟಲ್ ತೆರೆಯಲು ಬಲ್ಲ ಕ್ಲೈಂಟ್ ಕಾಣುತ್ತದೆ. ಇದರಿಂದ ಬರುವ ತೀರ್ಮಾನ ಸಾಮಾನ್ಯವಾಗಿ ಎರಡು ಬಾರಿ ತಪ್ಪು: ಗೇಟ್‌ವೇ ನಿಮ್ಮನ್ನು ತಿರಸ್ಕರಿಸುತ್ತಿಲ್ಲ, ಮತ್ತು Linux ಬಿಲ್ಡ್ ಮುರಿದಿಲ್ಲ. Fortinet ಆ ಕ್ಲೈಂಟ್ ಅನ್ನು SSL VPN ಬೆಂಬಲದೊಂದಿಗೆ ಮಾತ್ರ ಕಳುಹಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಮೊಬೈಲ್ IPsec ಪ್ರೊಫೈಲ್‌ಗೆ ಇರಲು ಸ್ಥಳವಿಲ್ಲ ಮತ್ತು IKEv1 ಮಾತನಾಡುವ ಎಡೆಯಲ್ಲಿ ಅದನ್ನು ಮತ್ತೆ ಕಟ್ಟಬೇಕು.

ಮೊದಲು ನಿಮಗೆ ನಿಜವಾಗಿ ಯಾವ ಪ್ರೋಟೋಕಾಲ್ ಕೊಟ್ಟಿದ್ದಾರೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸಿ

ವೆಂಡರ್ ಕ್ಲೈಂಟ್ ಅನ್ನು ಉಲ್ಲೇಖ ಅನುಷ್ಠಾನ ಎಂದು ಪರಿಗಣಿಸುವುದನ್ನು ನಿಲ್ಲಿಸಿದ ಕೂಡಲೇ ಆ ಪುನರ್‌ನಿರ್ಮಾಣ ಯಾಂತ್ರಿಕವಾಗಿರುತ್ತದೆ.

FortiGate ಸಾಧನಗಳು SSL VPN ಮತ್ತು IPsec ಎರಡನ್ನೂ ಪ್ರಕಟಿಸುತ್ತವೆ, ಮತ್ತು ಹಸ್ತಾಂತರ ಇಮೇಲ್ ಯಾವುದನ್ನು ನೀಡಲಾಗಿದೆ ಎಂದು ಅಪರೂಪವಾಗಿ ಹೇಳುತ್ತದೆ. ಪೋರ್ಟಲ್ URL ಜೊತೆಗೆ ಬ್ರೌಸರ್ ಶೈಲಿಯ ಲಾಗಿನ್ ಪುಟ ಎಂದರೆ SSL VPN, ಮತ್ತು Linux ನಲ್ಲಿ ಅಲ್ಲಿನ ಉತ್ತರ openfortivpn, ಕೆಳಗಿನ ಕ್ಷೇತ್ರ ಮ್ಯಾಪಿಂಗ್ ಅಲ್ಲ. ಗುಂಪು ಗುರುತಿಸುವಿಕೆ ಜೊತೆಗೆ ಪೂರ್ವ-ಹಂಚಿದ ಕೀಲಿ ಎಂದರೆ ಮೊಬೈಲ್ IPsec, ಅದನ್ನು vpnc ಮತ್ತು strongSwan ನಿರ್ವಹಿಸುತ್ತವೆ.

ಇದರಲ್ಲಿ ತಪ್ಪು ಮಾಡುವುದು Linux ಪ್ರಯತ್ನ ಮೊದಲ ಹಂತ ಪೂರ್ಣಗೊಳ್ಳುವ ಮೊದಲೇ ಸಾಯುವ ಅತ್ಯಂತ ಸಾಮಾನ್ಯ ಕಾರಣ: ಕ್ಲೈಂಟ್ HTTPS ಪೋರ್ಟಲ್‌ಗೆ IKEv1 ನೀಡುತ್ತಿದೆ ಅಥವಾ ಅದರ ವಿರುದ್ಧ. ಏನನ್ನಾದರೂ ಸ್ಥಾಪಿಸುವ ಮೊದಲು ನಿರ್ವಾಹಕರಿಂದ ಪ್ರೋಟೋಕಾಲ್ ಹೆಸರನ್ನು ಲಿಖಿತವಾಗಿ ಕೇಳಿ.

ನಾಲ್ಕು ರುಜುವಾತುಗಳು ನಾಲ್ಕು ಬೇರೆ ಬೇರೆ ಕ್ಷೇತ್ರಗಳಲ್ಲಿ ಪ್ರಯಾಣಿಸುತ್ತವೆ

password ಪದವು ಹೆಚ್ಚಿನ ಹಸ್ತಾಂತರಗಳಲ್ಲಿ ಎರಡು ಬಾರಿ ಬರುತ್ತದೆ ಮತ್ತು ಎರಡು ವಿಭಿನ್ನ ವಿಷಯಗಳನ್ನು ಅರ್ಥೈಸುತ್ತದೆ. ಪೂರ್ವ-ಹಂಚಿದ ಕೀಲಿ ಪೀರ್ ಅನ್ನು ಸ್ವತಃ ದೃಢೀಕರಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ನಿರ್ವಾಹಕರು ಗೇಟ್‌ವೇ ಸಂರಚನೆಯಿಂದ ಓದುವ ಯಂತ್ರ ರಹಸ್ಯ. ನಿಮ್ಮ ಖಾತೆಯ ಪಾಸ್‌ವರ್ಡ್ ಆ ಪೀರ್ ಹಿಂದೆ ಯಾವ ಮನುಷ್ಯನಿದ್ದಾನೆ ಎಂಬುದನ್ನು ಸಾಬೀತುಪಡಿಸುವ ಪ್ರತ್ಯೇಕ ರುಜುವಾತು.

ಉಳಿದ ಎರಡು ಮೌಲ್ಯಗಳನ್ನು ಗಮನಿಸದೇ ಬಿಡುವುದು ಸುಲಭ. ಗುಂಪು ಗುರುತಿಸುವಿಕೆ ಎಂದರೆ ವಿಝಾರ್ಡ್ IPsec ಗುಂಪು ವಸ್ತುವಿನಲ್ಲಿ ಬರೆದ ಸ್ಟ್ರಿಂಗ್, ಮತ್ತು 0 ಎಂಬುದು ಖಾಲಿ ಕ್ಷೇತ್ರವಲ್ಲ, ಕಾನೂನುಬದ್ಧ ಮೌಲ್ಯ. ಪ್ರಸ್ತಾವನೆ ಪ್ರತಿ ಹಂತಕ್ಕೂ ಎನ್‌ಕ್ರಿಪ್ಷನ್, ಹ್ಯಾಶಿಂಗ್ ಮತ್ತು Diffie-Hellman ಗುಂಪನ್ನು, ಜೊತೆಗೆ PFS ಸೆಟ್ಟಿಂಗ್ ಅನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಅದರ ಪ್ರತಿ ಅಂಶವೂ ಗೇಟ್‌ವೇಗೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ಸಂಪರ್ಕ 1 ನೇ ಹಂತದಲ್ಲಿ ವಿಫಲವಾದಾಗ, ಬಹುತೇಕ ಯಾವಾಗಲೂ ಆ ನಾಲ್ಕರಲ್ಲಿ ಒಂದೇ ಕಾರಣ, ಆದ್ದರಿಂದ ಅವನ್ನು ಒಂದೇ ಸಂವಾದದಲ್ಲಿ ಹಾಕುವ ಬದಲು ಪ್ರತ್ಯೇಕವಾಗಿ ಬರೆಯಿರಿ.

ಪ್ರತಿ vpnc ಕ್ಷೇತ್ರದಲ್ಲಿ ಏನಿರಬೇಕು

ಕ್ಲೈಂಟ್ ಅನ್ನು ಸಂಪಾದಕ ಇಂಟರ್ಫೇಸ್ ಜೊತೆಗೆ ಸ್ಥಾಪಿಸಿ, ನಂತರ VPNC ಸಂಪರ್ಕ ರಚಿಸಿ:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

ಗೇಟ್‌ವೇಗೆ FortiGate ನ ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು, ಮತ್ತು ಗುಂಪು ಹೆಸರಿಗೆ ಗೇಟ್‌ವೇಯ ಗುರುತಿಸುವಿಕೆಯನ್ನು ನಿಖರವಾಗಿ, ಬರಿ ಸೊನ್ನೆ ಸೇರಿಸಿ ಹೊಂದಿಸಿ. Group password ಪೂರ್ವ-ಹಂಚಿದ ಕೀಲಿಯನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಬಳಕೆದಾರ ಹೆಸರು ಮತ್ತು ಪಾಸ್‌ವರ್ಡ್ ನಿಮ್ಮ ಖಾತೆಯನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತವೆ, ಯಾವುದೇ ಟೋಕನ್ ಗೇಟ್‌ವೇ ನಿರೀಕ್ಷಿಸಿದಂತೆ ಸೇರಿಸಲಾಗುತ್ತದೆ. ಸುಧಾರಿತ ಸಂವಾದದಲ್ಲಿ, ಪ್ರಸ್ತಾವನೆ ಹೆಸರಿಸುವ Diffie-Hellman ಗುಂಪನ್ನು ಆರಿಸಿ, PFS ಅನ್ನು ಅದೇ ಗುಂಪಿಗೆ ಹೊಂದಿಸಿ, ಕ್ಲೈಂಟ್ ಮನೆ ರೌಟರ್ ಹಿಂದೆ ಇದ್ದಾಗ NAT ಟ್ರಾವರ್ಸಲ್ ಸಕ್ರಿಯಗೊಳಿಸಿ, ಮತ್ತು ಡೆಡ್ ಪೀರ್ ಪತ್ತೆಯನ್ನು ಗೇಟ್‌ವೇ ಜೊತೆ ಅದೇ ಹೆಜ್ಜೆಯಲ್ಲಿ ಇರಿಸಿ.

ಗುಂಪು ಹೆಸರು ತಪ್ಪಿಸಿಕೊಳ್ಳುವ ಕ್ಷೇತ್ರ, ಏಕೆಂದರೆ ಅದು ಐಚ್ಛಿಕವಾಗಿ ಕಾಣುತ್ತದೆ ಮತ್ತು ಡೀಫಾಲ್ಟ್ ಸೊನ್ನೆ ಪ್ಲೇಸ್‌ಹೋಲ್ಡರ್‌ನಂತೆ ಕಾಣುತ್ತದೆ. ಅದನ್ನು ಖಾಲಿ ಕಳುಹಿಸಿದರೆ ಕ್ಲೈಂಟ್ ಗೇಟ್‌ವೇ ಪರಿಶೀಲಿಸುವ ಗುರುತಿಸುವಿಕೆಗಿಂತ ಬೇರೆಯದನ್ನು ರವಾನಿಸುತ್ತದೆ. ಪ್ರೊಫೈಲ್ ಇನ್ನೂ ವಿಫಲವಾದರೆ, ಸುಧಾರಿತ ಮೌಲ್ಯಗಳನ್ನು ಬೇರೆ ಸೈಟ್‌ನ ಫೋರಂ ಪೋಸ್ಟ್‌ನೊಂದಿಗಲ್ಲ, ಕೆಲಸ ಮಾಡುತ್ತಿರುವ Windows ಕ್ಲೈಂಟ್ ಜೊತೆ ಹೋಲಿಸಿ.

ಅದೇ ಪ್ರೊಫೈಲ್ strongSwan ಗಾಗಿ ಬರೆದದ್ದು

ಈ ಮೌಲ್ಯಗಳಿಗೆ strongSwan ಉತ್ತಮ ದೀರ್ಘಕಾಲಿಕ ಪಾತ್ರೆ, ಏಕೆಂದರೆ ಸಂರಚನೆ ನೀವು ಪರಿಶೀಲಿಸಿ ಇಟ್ಟುಕೊಳ್ಳಬಹುದಾದ ಪಠ್ಯ ಫೈಲ್:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

ಬ್ಲಾಕ್‌ಗಿಂತ ಮೊದಲು ಪ್ರಸ್ತಾವನೆಯ ಸಾಲುಗಳನ್ನು ಓದಿ, ಏಕೆಂದರೆ ಕೊನೆಯ ಆಶ್ಚರ್ಯ ಚಿಹ್ನೆ ಅವುಗಳ ಅರ್ಥವನ್ನು ಬದಲಿಸುತ್ತದೆ: ಅದು ಆ ಒಂದೇ ಪ್ರಸ್ತಾವನೆಯನ್ನು ಪಿನ್ ಮಾಡಿ, ಕ್ಲೈಂಟ್ ಇಲ್ಲದಿದ್ದರೆ ನೀಡುತ್ತಿದ್ದ ಪರ್ಯಾಯಗಳನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ. ಒಂದೇ ರೂಪಾಂತರ ಜೋಡಿಗೆ ಸಂರಚಿಸಲಾದ ಗೇಟ್‌ವೇ ಪಟ್ಟಿಯೊಂದಿಗೆ ತೆರೆಯುವ ಕ್ಲೈಂಟ್ ಅನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪಿನ್ನಿಂಗ್ ಮಾತುಕತೆಯನ್ನು ಹೊಂದಿಕೆಯಾಗಿ ಮಾಡುತ್ತದೆ. ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಗೇಟ್‌ವೇ ಪ್ರೊಫೈಲ್‌ನಿಂದ ನಿಖರ ಅಲ್ಗಾರಿದಮ್ ಹೆಸರುಗಳನ್ನು ತೆಗೆದುಕೊಂಡು, ಪ್ಲೇಸ್‌ಹೋಲ್ಡರ್‌ಗಳನ್ನು ನಿಮ್ಮ ಮೌಲ್ಯಗಳಿಂದ ಬದಲಿಸಿ.

ಎರಡು ದೃಢೀಕರಣ ಸಾಲುಗಳು ಅನಗತ್ಯವಲ್ಲ. PSK ಪೀರ್ ಅನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, XAuth ಬ್ಲಾಕ್ ಬಳಕೆದಾರನನ್ನು, ಮತ್ತು ಯಾವುದನ್ನಾದರೂ ಬಿಟ್ಟರೆ ಗೇಟ್‌ವೇ ಮುಗಿಸದ ಹಂತವೊಂದು ಉಳಿಯುತ್ತದೆ.

ಇನ್ನೊಂದು ಕ್ಷೇತ್ರ ಬದಲಿಸುವ ಮೊದಲು ವೈಫಲ್ಯವನ್ನು ಓದಿ

ಸಂವಾದವನ್ನು ಮತ್ತೆ ಯಾದೃಚ್ಛಿಕಗೊಳಿಸುವ ಬದಲು ಲಕ್ಷಣದಿಂದ ಹಿಂದಕ್ಕೆ ಕೆಲಸ ಮಾಡಿ. ನಿಗದಿಪಡಿಸಿದ ವಿಳಾಸವಿಲ್ಲದೆ ಮೇಲೇಳುವ IKE SA ಎಂದರೆ ಬಳಕೆದಾರ ದೃಢೀಕರಣ ವಿನಿಮಯ ವಿಫಲವಾಯಿತು ಅಥವಾ ಎಂದೂ ನಡೆಯಲಿಲ್ಲ, ಆದ್ದರಿಂದ ಖಾತೆ ಮತ್ತು ಟೋಕನ್ ನಿರ್ವಹಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ. ಎಂದೂ ಪೂರ್ಣಗೊಳ್ಳದ 1 ನೇ ಹಂತ ಪ್ರಸ್ತಾವನೆ, ಗುಂಪು ಗುರುತಿಸುವಿಕೆ ಅಥವಾ ಆಕ್ರಮಣಕಾರಿ ಮೋಡ್‌ಗೆ ಸೂಚಿಸುತ್ತದೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಪ್ರತಿಯೊಂದೂ ಕೇವಲ Windows ಕ್ಲೈಂಟ್ ಜೊತೆಗಲ್ಲ, ಗೇಟ್‌ವೇ ಜೊತೆ ಹೋಲಿಸಲಾಗುತ್ತದೆ.

ಸ್ಥಾಪನೆಯಾಗಿ ನಂತರ ಪ್ರತಿ ಕೆಲವು ನಿಮಿಷಗಳಿಗೆ ಸಾಯುವ ಸುರಂಗವು ಎರಡು ತುದಿಗಳ ನಡುವೆ ಡೆಡ್ ಪೀರ್ ಪತ್ತೆಯ ಭಿನ್ನಾಭಿಪ್ರಾಯ; ಎಲ್ಲೆಡೆ keepalive ಗಳನ್ನು ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವ ಬದಲು ಗೇಟ್‌ವೇ ಟೈಮರ್‌ಗೆ ಹೊಂದಿಸಿ. ಸ್ಥಾಪಿತ ಸುರಂಗದಲ್ಲಿ ಕಚೇರಿ ಹೋಸ್ಟ್‌ಗಳು ತಲುಪಲಾಗದೆ ಉಳಿದರೆ, ಸಾಮಾನ್ಯವಾಗಿ ತಳ್ಳಲಾದ ಉಪಜಾಲವು ಸ್ಥಳೀಯ ರೂಟಿಂಗ್ ಕೋಷ್ಟಕಕ್ಕೆ ಎಂದೂ ಸೇರಿಲ್ಲ ಎಂದರ್ಥ, ಅದನ್ನು ತೃತೀಯ-ಪಕ್ಷದ ಕ್ಲೈಂಟ್ ತಾನೇ ಮಾಡದಿರಬಹುದು.

ಮುಗಿದ ಮೇಲೆ ಕೆಲಸ ಮಾಡುವ ಮೌಲ್ಯಗಳನ್ನು ಗೇಟ್‌ವೇ ಮಾಲೀಕರಿಗೆ ಹಿಂತಿರುಗಿಸಿ: ಪ್ರೋಟೋಕಾಲ್, ಗುಂಪು ಗುರುತಿಸುವಿಕೆ, ಪೂರ್ವ-ಹಂಚಿದ ಕೀಲಿ, ಪ್ರಸ್ತಾವನೆ, PFS ಮತ್ತು DPD ನಿರ್ಣಯ. ಆಗ ಮುಂದಿನ Linux ಯಂತ್ರವು ಇಡೀ ಸಂಜೆಯ ಬದಲು ಕೆಲವು ನಿಮಿಷಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ, ಮತ್ತು ಗುಂಪು ಹೆಸರು ಸೊನ್ನೆಯಾಗಿತ್ತು ಎಂದು ಯಾರೂ ಮತ್ತೆ ಕಂಡುಕೊಳ್ಳಬೇಕಾಗಿಲ್ಲ.