FortiGate IPsec Linuxe: kuris klientas iš tikrųjų prisijungia

Jūsų Windows kolega importuoja FortiGate vedlio profilį ir po minutės jau prisijungęs. Jūs įdiegiate tą patį tiekėjo paketą Ubuntu, ieškote IPsec skirtuko ir randate klientą, kuris moka atidaryti tik SSL VPN portalą. Išvada, kuri paprastai daroma, būna dvigubai klaidinga: šliuzas jūsų neatmeta, o Linux kompiliavimas nesugadintas. Fortinet tiekia tą klientą tik su SSL VPN palaikymu, todėl mobilus IPsec profilis neturi kur gyventi ir turi būti perstatytas ten, kur kalbama IKEv1.

Pirmiausia nuspręskite, koks protokolas jums iš tikrųjų duotas

Tas perstatymas yra mechaniškas, kai tik nustojate laikyti tiekėjo klientą etalonine realizacija.

FortiGate įrenginiai skelbia ir SSL VPN, ir IPsec, o perdavimo el. laiškas retai pasako, kuris jums suteiktas. Portalo URL ir naršyklės stiliaus prisijungimo puslapis reiškia SSL VPN, o Linux atveju atsakymas ten yra openfortivpn, o ne toliau pateiktas laukų atitikimas. Grupės identifikatorius ir iš anksto bendrinamas raktas reiškia mobilų IPsec, kurį tvarko vpnc ir strongSwan.

Tai supainioti yra dažniausia priežastis, kodėl Linux bandymas miršta nebaigus pirmos fazės: klientas siūlo IKEv1 HTTPS portalui arba atvirkščiai. Prieš ką nors įdiegdami, paprašykite administratoriaus protokolo pavadinimo raštu.

Keturi prisijungimo duomenys keliauja keturiuose skirtinguose laukuose

Žodis password daugumoje perdavimų pasirodo du kartus ir reiškia du skirtingus dalykus. Iš anksto bendrinamas raktas autentifikuoja patį peer, ir tai yra mašinos paslaptis, kurią administratorius nuskaito iš šliuzo konfigūracijos. Jūsų paskyros slaptažodis yra atskiras prisijungimo duomuo, įrodantis, kuris žmogus yra už to peer.

Kitas dvi reikšmes lengviau praleisti. Grupės identifikatorius yra eilutė, kurią vedlys įrašė į IPsec grupės objektą, o 0 yra teisėta reikšmė, o ne tuščias laukas. Pasiūlymas apima šifravimą, maišymą ir Diffie-Hellman grupę kiekvienai fazei, taip pat PFS nustatymą, ir kiekvienas jo punktas turi sutapti su šliuzu. Kai ryšys nepavyksta 1 fazėje, kaltas beveik visada vienas iš tų keturių, todėl užsirašykite juos atskirai, o ne suverskite į vieną dialogą.

Ką turi turėti kiekvienas vpnc laukas

Įdiekite klientą kartu su redaktoriaus sąsaja, tada sukurkite VPNC ryšį:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Nustatykite šliuzą į viešą FortiGate adresą, o grupės pavadinimą tiksliai į identifikatorių iš šliuzo, įskaitant pliką nulį. Group password paima iš anksto bendrinamą raktą, o vartotojo vardas ir slaptažodis – jūsų paskyrą, bet koks žetonas pridedamas taip, kaip šliuzas tikisi. Išplėstiniame dialoge pasirinkite Diffie-Hellman grupę, kurią nurodo pasiūlymas, sulygiuokite PFS su ta pačia grupe, įjunkite NAT perėjimą, kai klientas yra už namų maršrutizatoriaus, ir palikite mirusio peer aptikimą tame pačiame žingsnyje kaip šliuzas.

Grupės pavadinimas yra laukas, kuris praleidžiamas, nes atrodo neprivalomas, o numatytoji nulis primena vietos žymeklį. Išsiųskite jį tuščią ir klientas perduos kitokį identifikatorių nei tas, kurį tikrina šliuzas. Jei profilis vis tiek nepavyksta, palyginkite išplėstines reikšmes su veikiančiu Windows klientu, o ne su forumo įrašu kitai svetainei.

Tas pats profilis, parašytas strongSwan

strongSwan yra geresnė ilgalaikė šių reikšmių talpykla, nes konfigūracija yra tekstinis failas, kurį galite peržiūrėti ir pasilikti:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Perskaitykite pasiūlymo eilutes prieš bloką, nes šauktukas pabaigoje keičia jų reikšmę: jis prisega tą vieną pasiūlymą ir pašalina alternatyvas, kurias klientas kitaip siūlytų. Šliuzas, sukonfigūruotas vienai transformacijų porai, atmes klientą, kuris atsidaro su sąrašu, todėl būtent prisegimas paverčia derybas sutapimu. Paimkite tikslius algoritmų pavadinimus iš veikiančio šliuzo profilio ir pakeiskite vietos žymeklius savo reikšmėmis.

Dvi autentifikavimo eilutės nėra perteklinės. PSK įrodo peer, XAuth blokas įrodo vartotoją, o praleidus bet kurią lieka fazė, kurios šliuzas neužbaigs.

Perskaitykite nesėkmę prieš keisdami dar vieną lauką

Dirbkite atgal nuo simptomo, o ne iš naujo atsitiktinai keiskite dialogą. IKE SA, kuris pakyla be priskirto adreso, reiškia, kad vartotojo autentifikavimo mainai nepavyko arba niekada neįvyko, todėl patikrinkite paskyrą ir žetono tvarkymą. 1 fazė, kuri niekada nesibaigia, nurodo pasiūlymą, grupės identifikatorių arba agresyvų režimą, ir kiekvienas iš jų lyginamas su šliuzu, ne tik su Windows klientu.

Tunelis, kuris užmezgamas ir po to miršta kas kelias minutes, yra mirusio peer aptikimo nesutarimas tarp abiejų galų; sulygiuokite šliuzo laikmatį, o ne išjunkite keepalive visur. Užmegztas tunelis, kuriame biuro mazgai lieka nepasiekiami, paprastai reiškia, kad stumiamas potinklis taip ir nepateko į vietinę maršrutizavimo lentelę, ko trečiosios šalies klientas gali ir nepadaryti pats.

Baigę grąžinkite veikiančias reikšmes šliuzo savininkui: protokolas, grupės identifikatorius, iš anksto bendrinamas raktas, pasiūlymas, PFS ir DPD sprendimas. Tada kita Linux mašina užtruks minutes, o ne visą vakarą, ir niekam nereikės iš naujo atrasti, kad grupės pavadinimas buvo nulis.