De Linux-VPN-Client un de Protokoll vum ale Apparat upassen

Véier Protokollfamillen decke bal all Apparat, deen nach an engem Rack steet, an all eenzel feelt anescht op Linux. D'verëffentlecht Porte an déi konfiguréiert Virschléi vun der Géigende decidéieren Äre Pak, net d'Distributioun, déi Dir just lafe léisst. Dat installéieren, wat e Forumspost ernimmt, an duerno beaarbechten, bis eppes verbënnt, ass de Wee, wéi en Nomëtteg verschwënnt. Liest den Apparat, installéiert als Zweete, verifizéiert als Drëtten.

Notéiert, wat déi aner Säit verëffentlecht

Schreift de Protokoll, d'Porte an d'Authentifikatioun op, déi den Apparat erwaart, ier Dir e Pakmanager opmaacht. Véier Famille decken de gréissten Deel vun aler Ausrüstung, an d'Tabelle ënnendrënner ass déi ganz Entscheedung op engem Bildschierm.

D'Handbuch an dem Apparat seng eege Firewallregele si méi vertrauenswierdeg wéi den Numm vum Protokoll op senger Anmeldungssäit. En Apparat, deen IPsec annoncéiert, schwätzt vläicht nëmmen IKEv1, an eng Firmwareverëffentlechung, déi keen installéiert huet, ass vläicht dat, wat schlussendlech IKEv2 bäisetzt. Bestätegt de Datenwee souwéi de Konfiguratiounsport, well do ginn al Ausrüstung an modern Netzwierker auserneen. Dëse Schrëtt falsch ze maachen heescht, Äre Client géint eng Fonctioun ze debuggen, déi déi aner Säit ni hat.

PPTP: bewise GRE, ier Dir pppd beaarbecht

PPTP op Linux ass keen Daemon, deen Dir start, mä en pppd-Aufruff, an d'Verbindungsparameter liewen an enger benannter Peer-Datei, déi pppd liest, wann hie geruff gëtt. D'Distributioune packen et nach ëmmer, obwuel déi bekannt Schwaachte vum Protokoll et fir alles Sensibel ongëeegent maachen, also haalt et strikt fir en Apparat, deen näischt anescht ubitt. Passt op GRE op, wärend de Client verhandelt, mat enger kuerzer Opnam amplaz vun enger Vermutung. De Feeler, deen am meeschten Zäit kascht, ass net d'Authentifikatioun, mä de fehlenden Datenwee.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Wann d'Konfiguratioun fäerdeg ass an de Link ni Verkéier dréit, verdächtegt de GRE-Wee, ier Dir d'Zougangsdaten beréiert. Cloud-Sécherheetsgruppe brauchen eng explizit Regel fir de Protokoll 47, an e puer Netzwierker blockéieren en komplett ouni siichtbare Feeler. Test vun deem Netzwierk, dat Dir tatsächlech wäert benotzen, net vun engem Labor, deen alles erlaabt.

L2TP/IPsec: ee passende Virschlag schléit zéng Versich

Liest d'Log vum Daemon amplaz vum Desktop-Dialog, well den Dialog e puer verschidde Feeler an eng eenzeg Noriicht zesummefaasst. E Feeler NO_PROPOSAL_CHOSEN gehéiert zur éischter Phas: de Client huet eng Verschlësselung, en Hash oder eng Diffie-Hellman-Grupp ugebueden, déi de Server net akzeptéiert. Zielt op, wat den Apparat ënnerstëtzt, a schreift ee passende Virschlag, well zoufälleg Kombinatioune meeschtens dee selwechte Feeler méi lues ginn. Op engem Desktop ass de praktesche Client de NetworkManager-L2TP-Plugin mat strongSwan oder Libreswan drënner.

Eng Virschlagszeichenkette, déi fir en Desktop-Plugin eng Saach bedeit, kann fir den Daemon, deem hien d'Aarbecht iwwergëtt, eppes anescht bedeiten, also haalt d'Syntax passend fir déi Schicht, déi Dir beaarbecht. Wann den Apparat zousätzlech e Tunnelgeheimnis verlaangt, ass dat eng eege Stuf vum IPsec-Schlëssel. Bestätegt, wien vun de béide d'Schnittstell freet, ier Dir eppes dran tippt.

Aggressiivt IKEv1 mat XAuth, an de Fall vum Portal

En Endpunkt am FortiGate-Stil wëll meeschtens aggressiivt Modus mat XAuth an eng Adress am konfiguréierte Modus, wat en grafesche Plugin vläicht guer net weist. Den native Daemon këmmert sech drëm, an de Block hei drënner ass d'Form vun där Konfiguratioun, net eng komplett Datei. Kuckt d'aktuell Dokumentatioun vum Hiersteller fir d'Virschlagswäerter.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Méi al strongSwan-Versiounen hu xauth=client benotzt, wou Versioun 5 leftauth2=xauth benotzt, also kann en kopéierte Schnipsel just wéinst der Syntax feelen. Fir en TLS-Portal këmmert sech openconnect, deen den AnyConnect-Protokoll schwätzt, ëm Cisco a meescht ëmbenannten Marken, an et brauch en TUN-Apparat plus d'Rechter, en ze konfiguréieren. Gitt d'Portaladress genau esou un, wéi de Browser se weist, inklusiv all Wee, deen den Apparat erwaart, a kontrolléiert duerno déi zougewisen Adress, ier Dir eppes hannendrun testt. D'Schnittstell virdrun unzeleeën hëlt eng Klass vu Iwwerraschungen bei der Konfiguratioun eraus.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Verbind, duerno verifizéiert an enger fester Reihenfolge

Fëllt genee ee VPN-Manager gläichzäiteg aus, well e NetworkManager-Profil an en Daemon, deen vun Hand gestart gouf, sech ëm Route an DNS streiden. Huelt de Profil erof, ier Dir eng manuell Verbindung testt, a bestätegt, datt keng al Tunnel-Schnittstell iwwerlieft. Verifizéiert duerno an dëser Reihenfolge: Tunneladress, Route zum eenzegen internen Host, deen Dir braucht, Nummaufléisung an zum Schluss eng tatsächlech Ufro. Eng gréng Ikon beweist d'Authentifikatioun an näischt anescht.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Wann e Schrëtt feelt, stoppt do, amplaz deen nächsten ze testen, well en DNS-Feeler ënner enger gebrochener Route Iech näischt bäibréngt. Späichert eng Kopie vum funktionéierende Profil, ier Dir experimentéiert, well eng geläschte Verbindungsdatei liicht verluer geet an et mühsam ass, se erëm opzebauen. Haalt d'Virschlagswäerter an der selwechter Notiz wéi den Apparatmodell an d'Firmwareversioun, well déi Notiz ass den Ënnerscheed tëscht enger Migratioun an engem Archeologieprojet, wann d'Këscht ersat gëtt.