FortiGate IPsec op Linux: wéi ee Client sech wierklech verbënnt

Ären Windows-Kolleg importéiert e FortiGate-Zauberer-Profil a ass an enger Minutt online. Dir installéiert dee selwechte Fournisseurspaket op Ubuntu, sicht eng IPsec-Kaart a fannt e Client, deen nëmmen eng SSL VPN Portal kann opmaachen. D'Schlussfolgerung déi duerno kënnt ass meeschtens zweemol falsch: de Gateway weist Iech net of, an de Linux-Build ass net futti. Fortinet liwwert dee Client nëmmen mat SSL VPN-Ënnerstëtzung, dofir huet e mobilen IPsec-Profil keng Plaz ze liewen a muss nei gebaut ginn, wou IKEv1 geschwat gëtt.

Als éischt entscheet, wéi ee Protokoll Dir tatsächlech kritt hutt

Dee Neibau ass mechanesch, soubal Dir ophält, de Fournisseurclient als Referenzimplementatioun ze gesinn.

FortiGate-Geräter publizéieren souwuel SSL VPN wéi och IPsec, an den Iwwerlagungsmail seet seelen, wat Dir kritt hutt. Eng Portal-URL plus eng Login-Säit am Browserstil heescht SSL VPN, an op Linux ass d'Äntwert do openfortivpn, net d'Feldzouuerdnung hei drënner. E Gruppidentifiant plus en im Viraus gedeelte Schlëssel heescht mobilen IPsec, dee vpnc an strongSwan handhaben.

Dëst falsch ze maachen ass dee heefegste Grond, firwat en Linux-Versuch stierft, ier déi éischt Phas fäerdeg ass: de Client bitt engem HTTPS-Portal IKEv1 un oder ëmgekéiert. Frot den Administrateur no dem Numm vum Protokoll schrëftlech, ier Dir eppes installéiert.

Véier Geheimnisser reesen a véier verschiddene Felder

D'Wuert password kënnt a meeschten Iwwerlagungen zweemol vir an heescht zwee verschidden Saachen. Den im Viraus gedeelte Schlëssel authentifizéiert de Peer selwer, an et ass e Maschinengeheimnis, dat den Administrateur aus der Gateway-Konfiguratioun liest. Äert Kontpasswuert ass en eegene Geheimnis, dat beweist, wéi eng Persoun hannert deem Peer steet.

Déi aner zwou Wäerter gi méi liicht iwwersinn. De Gruppidentifiant ass de String, deen den Zauberer an d'IPsec-Gruppobjekt geschriwwen huet, an 0 ass en legitime Wäert an net e leet Feld. De Projet deckt Verschlësselung, Hashing an eng Diffie-Hellman-Grupp fir all Phas, plus d'PFS-Astellung, an all Element doranner muss mam Gateway iwwerenee stëmmen. Wann eng Verbindung an der Phas 1 feelt, ass bal ëmmer ee vun deene véier schëlleg, also schreift se getrennt op, amplaz se an een Dialog ze geheien.

Wat all vpnc-Feld enthalen muss

Installéiert de Client zesumme mat der Editor-Interface, a leet dann eng VPNC-Verbindung un:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Setzt de Gateway op d'ëffentlech Adress vum FortiGate, an de Gruppennumm genee op den Identifiant vum Gateway, inklusiv enger blosser Null. Group password hëlt deen im Viraus gedeelte Schlëssel, wärend Benotzernumm a Passwuert Äert Kont huelen, mat engem eventuellen Token ugehaangen, wéi de Gateway et erwaart. Am erweiderten Dialog wielt d'Diffie-Hellman-Grupp, déi de Projet nennt, gläicht PFS op déi selwecht Grupp of, aktivéiert NAT-Traversal wann de Client hannert engem Heemrouter sëtzt, a loosst d'Erkennung vum doudege Peer am selwechten Takt mam Gateway.

De Gruppennumm ass d'Feld, dat iwwersprong gëtt, well et fakultativ ausgesäit an déi Standardnull wéi en Platzhalter wierkt. Schéckt en eidel an de Client iwwerdréit en aneren Identifiant wéi deen, deen de Gateway validéiert. Wann de Profil nach ëmmer feelt, vergläicht d'erweidert Wäerter mam funktionéierende Windows-Client an net mat engem Forumsbäitrag fir eng aner Säit.

Dee selwechte Profil fir strongSwan geschriwwen

strongSwan ass dee besseren laangfristegen Behälter fir dës Wäerter, well d'Konfiguratioun eng Textdatei ass, déi Dir kënnt iwwerpréiwen an halen:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Liest d'Projetslinnen virum Block, well d'Ausruffzeechen um Enn hir Bedeitung ännert: et fixéiert genee dee eenzege Projet an entfernt d'Alternativen, déi de Client soss ubidden. E Gateway, dee fir een Transformatiounspaar konfiguréiert ass, weist e Client of, deen mat enger Lëscht opgeet, also ass d'Fixéierung dat, wat eng Verhandlung an eng Iwwerenee stëmmen ëmwandelt. Huelt déi genee Algorithmusnimm aus dem funktionéierende Gateway-Profil, an ersetzt d'Platzhalter duerch Är eege Wäerter.

Déi zwou Authentifikatiounslinne sinn net iwwerflësseg. De PSK beweist de Peer, de XAuth-Block de Benotzer, an eng vun deenen zwee ewechzeloosse léisst eng Phas, déi de Gateway net fäerdeg mécht.

Liest de Feeler, ier Dir nach en anert Feld ännert

Schafft vum Symptom aus zréck, amplaz den Dialog nach eng Kéier zoufälleg ze maachen. En IKE SA, deen ouni zougewisener Adress eropkënnt, heescht, datt den Authentifikatiounsaustausch vum Benotzer feelgeschloen ass oder ni gelaf ass, also préift de Kont an d'Behandlung vum Token. Eng Phas 1, déi ni fäerdeg gëtt, weist op de Projet, den Gruppidentifiant oder den aggressive Modus, an jidwereen dovu gëtt mam Gateway verglach, net nëmme mam Windows-Client.

En Tunnel, deen opgebaut gëtt an dann all puer Minutten stierft, ass eng Onenegkeet bei der Erkennung vum doudege Peer tëscht den zwou Säiten; gläicht den Timer vum Gateway of, amplaz keepalives iwwerall auszeschalten. En opgebauten Tunnel, an deem d'Bürohosts onereechbar bleiwen, heescht meeschtens, datt dat gedréckt Subnetz ni an d'lokal Routingtabelle komm ass, wat e Client vun enger drëtter Partei vläicht net selwer mécht.

Gitt déi funktionéierend Wäerter un den Eegentum vum Gateway zréck, wann Dir fäerdeg sidd: Protokoll, Gruppidentifiant, im Viraus gedeelte Schlëssel, Projet, PFS an d'DPD-Entscheedung. Da brauch déi nächst Linux-Maschinn Minutten amplaz engem Owend, an et muss een nees entdecken, datt de Gruppennumm null war.