Linux-та FortiGate IPsec: кайсы кардар чындап туташат

Linux үчүн өндүрүүчүнүн кардары SSL VPN гана сүйлөйт. Мобилдик IPsec профилин vpnc же strongSwan ичинде кайра куруу керек, жана төрт талаа шлюзга дал келиши тийиш.

Windows-тогу кесиптешиңиз FortiGate устасынын профилин импорттоп, бир мүнөттө эле онлайн болот. Сиз ошол эле өндүрүүчүнүн пакетин Ubuntu-га орнотуп, IPsec өтмөгүн издеп, жыйынтыгында SSL VPN порталын гана ача билген кардар табасыз. Андан чыккан тыянак көбүнчө эки жактан тең туура эмес: шлюз сизди четке какпайт, Linux курулушу бузулган эмес. Fortinet бул кардарды SSL VPN колдоосу менен гана жеткирет, ошондуктан мобилдик IPsec профилине жашоого орун жок жана аны IKEv1 сүйлөгөн жерде кайра куруу керек.

Алгач сизге кайсы протокол берилгенин тактаңыз

Өндүрүүчүнүн кардарын эталондук ишке ашыруу деп эсептөөнү токтоткондон кийин бул кайра куруу механикалык иш.

FortiGate түзмөктөрү SSL VPN менен IPsec-ти тең жарыялайт, ал эми өткөрүп берүү каты кайсынысы берилгенин сейрек айтат. Портал URL-и плюс браузер стилиндеги кирүү баракчасы SSL VPN дегенди билдирет, Linux-та ал жактагы жооп openfortivpn, төмөнкү талаалардын дал келүүсү эмес. Топ идентификатору плюс алдын ала бөлүшүлгөн ачкыч мобилдик IPsec дегенди билдирет, аны vpnc жана strongSwan чечет.

Бул жерде ката кетирүү Linux аракетинин биринчи фаза бүтпөй эле өлүшүнүн эң көп кездешкен себеби: кардар HTTPS порталына IKEv1 сунуштап жатат же тескерисинче. Бир нерсе орнотуудан мурун администратордон протоколдун атын жазуу түрүндө сураңыз.

Төрт күбөлүк төрт башка талаа менен жүрөт

password сөзү көпчүлүк өткөрүп берүүлөрдө эки жолу кездешет жана эки башка нерсени билдирет. Алдын ала бөлүшүлгөн ачкыч өзүнүн теңтушуң аутентификациялайт, жана бул администратор шлюз конфигурациясынан окуган машиналык сыр. Ал эми аккаунтуңуздун сырсөзү ошол теңтуштун артында кайсы адам турганын далилдеген өзүнчө күбөлүк.

Калган эки маанини байкабай коюу оңой. Топ идентификатору — уста IPsec топ объектисине жазган сап, ал эми 0 бош талаа эмес, мыйзамдуу маани. Сунуш ар бир фаза үчүн шифрлөөнү, хэштешти жана Diffie-Hellman тобун, ошондой эле PFS жөндөөсүн камтыйт, жана анын ар бир пункту шлюзга дал келиши керек. Байланыш 1-фазада ийгиликсиз болгондо, күнөөлүү дээрлик дайыма ошол төрттүн бири, ошондуктан аларды бир диалогго тыкпай, өзүнчө жазып алыңыз.

Ар бир vpnc талаасында эмне болушу керек

Кардарды редактор интерфейси менен кошо орнотуңуз, анан VPNC байланышын түзүңүз:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Шлюзга FortiGate-тин коомдук дарегин, ал эми топ атына шлюздеги идентификаторду так, жылаңач нөлдү кошуп коюңуз. Group password алдын ала бөлүшүлгөн ачкычты алат, ал эми колдонуучунун аты жана сырсөз аккаунтуңузду алат, кандайдыр бир токен шлюз күткөндөй кошулат. Кеңейтилген диалогдо сунушта аталган Diffie-Hellman тобун тандаңыз, PFSти ошол эле топко дал келтириңиз, кардар үй маршрутизаторунун артында болсо NAT өтүүсүн күйгүзүңүз, ал эми өлүк теңтушту аныктоону шлюз менен бир кадамда калтырыңыз.

Топ аты — өткөрүп жиберилүүчү талаа, анткени ал милдеттүү эмес көрүнөт жана демейки нөл орун толтургучка окшош. Аны бош жиберсеңиз, кардар шлюз текшерген идентификатордон башкасын жиберет. Профиль дагы эле ийгиликсиз болсо, кеңейтилген маанилерди башка сайттын форум билдирүүсү менен эмес, иштеп жаткан Windows кардары менен салыштырыңыз.

Ошол эле профиль strongSwan үчүн жазылган

Бул маанилер үчүн strongSwan жакшыраак узак мөөнөттүү идиш, анткени конфигурация — карап, сактап койсо боло турган тексттик файл:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Блоктон мурун сунуштун саптарын окуңуз, анткени аягындагы леп белгиси алардын маанисин өзгөртөт: ал так ошол бир сунушту бекитип, кардар болбосо сунуштай турган альтернативаларды алып салат. Бир трансформация жупка конфигурацияланган шлюз тизме менен ачылган кардардан баш тартат, ошондуктан бекитүү сүйлөшүүнү дал келүүгө айландырат. Алгоритмдердин так аттарын иштеп жаткан шлюз профилинен алыңыз жана орун толтургучтарды өз маанилериңиз менен алмаштырыңыз.

Эки аутентификация сабы ашыкча эмес. PSK теңтушту далилдейт, XAuth блогу колдонуучуну далилдейт, ал эми кайсынысын болбосун алып салуу шлюз бүтүрбөй турган фазаны калтырат.

Дагы бир талааны өзгөртүүдөн мурун ийгиликсиздикти окуңуз

Диалогду кайра кокустан өзгөртүүнүн ордуна симптомдон артка жүрүңүз. Бөлүнгөн дареги жок көтөрүлгөн IKE SA колдонуучунун аутентификация алмашуусу ийгиликсиз болгонун же такыр иштебегенин билдирет, ошондуктан аккаунтту жана токенди иштетүүнү текшериңиз. Эч качан бүтпөгөн 1-фаза сунушка, топ идентификаторуна же агрессивдүү режимге көрсөтөт, жана алардын ар бири Windows кардары менен гана эмес, шлюз менен салыштырылат.

Курулуп, анан ар бир нече мүнөт сайын өлүп турган туннель — эки учтун ортосундагы өлүк теңтушту аныктоо келишпестиги; keepalive-терди бардык жерден өчүрүүнүн ордуна шлюздүн таймерине дал келтириңиз. Орнотулган туннелде кеңсе хосттору жеткиликсиз бойдон калса, адатта түртүлгөн ички тармак жергиликтүү маршруттоо таблицасына такыр түшпөгөнүн билдирет, аны үчүнчү тараптын кардары өзү жасабашы мүмкүн.

Бүткөндөн кийин иштеген маанилерди шлюздун ээсине кайтарыңыз: протокол, топ идентификатору, алдын ала бөлүшүлгөн ачкыч, сунуш, PFS жана DPD чечими. Ошондо кийинки Linux машинасы бүт кеч ордуна бир нече мүнөт алат, жана эч ким топтун аты нөл болгонун кайра ачууга аргасыз болбойт.

Тектеш макалалар