Pritaikykite Linux VPN klientą seno įrenginio protokolui

Keturios protokolų šeimos apima beveik kiekvieną įrenginį, dar stovintį racke, ir kiekviena Linuxe žlunga skirtingai. Paskelbti priešingos pusės prievadai ir sukonfigūruoti pasiūlymai lemia jūsų paketą, o ne distribucija, kurią atsitiktinai naudojate. Įdiegti tai, ką mini forumo įrašas, ir tada redaguoti, kol kažkas prisijungs, yra būdas, kuriuo dingsta popietė. Perskaitykite įrenginį, įdiekite antri, patikrinkite trečia.

Užsirašykite, ką skelbia priešinga pusė

Prieš atidarydami paketų tvarkyklę, užrašykite protokolą, prievadus ir autentifikaciją, kurių tikisi įrenginys. Keturios šeimos apima didžiąją dalį senos įrangos, o lentelė žemiau yra visas sprendimas viename ekrane.

Vadovas ir paties įrenginio ugniasienės taisyklės patikimesnės už protokolo pavadinimą jo prisijungimo puslapyje. Įrenginys, skelbiantis IPsec, gali kalbėti tik IKEv1, o niekieno neįdiegtas programinės įrangos leidimas gali būti tas, kuris galiausiai prideda IKEv2. Patvirtinkite ir duomenų kelią, ir sąrankos prievadą, nes būtent čia senoji įranga ir šiuolaikiniai tinklai išsiskiria. Šiame žingsnyje suklysti reiškia derinti klientą prieš funkciją, kurios kita pusė niekada neturėjo.

PPTP: įrodykite GRE prieš redaguodami pppd

PPTP Linuxe nėra paleidžiamas demonas, o pppd iškvietimas, ir ryšio parametrai gyvena pavadintame peer faile, kurį pppd perskaito, kai iškviečiamas. Distribucijos vis dar supakuoja jį, nors žinomi protokolo trūkumai daro jį netinkamą jautriems dalykams, todėl laikykite jį griežtai tik įrenginiui, kuris nieko kito nesiūlo. Stebėkite GRE, kol klientas derasi, trumpu įrašu, o ne spėjimu. Daugiausia laiko kainuojanti nesėkmė yra ne autentifikacija, o trūkstamas duomenų kelias.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Jei sąranka baigiasi, o ryšys niekada neperduoda srauto, įtarkite GRE kelią prieš liedami kredencialus. Debesų saugos grupėms reikia aiškios taisyklės 47 protokolui, o kai kurie tinklai jį visiškai blokuoja be matomos klaidos. Testuokite iš tinklo, kurį tikrai naudosite, o ne iš laboratorijos, kuri leidžia viską.

L2TP/IPsec: vienas tinkamas pasiūlymas įveikia dešimt bandymų

Skaitykite demono žurnalą, o ne darbalaukio dialogą, nes dialogas sujungia kelias skirtingas nesėkmes į vieną pranešimą. NO_PROPOSAL_CHOSEN klaida priklauso pirmai fazei: klientas pasiūlė šifravimą, maišą ar Diffie-Hellman grupę, kurios serveris nepriims. Išvardykite, ką įrenginys palaiko, ir parašykite vieną tinkamą pasiūlymą, nes atsitiktinės kombinacijos dažniausiai duoda tą pačią klaidą lėčiau. Darbalaukyje praktiškas klientas yra NetworkManager L2TP papildinys su strongSwan arba Libreswan po juo.

Pasiūlymo eilutė, kuri darbalaukio papildiniui reiškia vieną dalyką, gali reikšti ką kita demonui, kuriam perduoda darbą, todėl palaikykite sintaksę, tinkamą redaguojamam sluoksniui. Jei įrenginys taip pat reikalauja tunelio paslapties, tai atskiras etapas nuo IPsec rakto. Patvirtinkite, kurio iš dviejų klausia sąsaja, prieš ką nors joje įvesdami.

Agresyvus IKEv1 su XAuth, ir portalo atvejis

FortiGate stiliaus galinis taškas paprastai nori agresyvaus režimo su XAuth ir sukonfigūruoto režimo adreso, ko grafinis papildinys gali visai nerodyti. Vietinis demonas su tuo susitvarko, o blokas žemiau yra tos konfigūracijos forma, o ne visas failas. Pasiūlymo reikšmių ieškokite naujausioje gamintojo dokumentacijoje.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Senesni strongSwan leidimai naudojo xauth=client ten, kur 5 versija naudoja leftauth2=xauth, todėl nukopijuotas fragmentas gali nepavykti vien dėl sintaksės. TLS portalui openconnect, kalbantis AnyConnect protokolu, tvarko Cisco ir daugumą pervadintų prekių ženklų, ir jam reikia TUN įrenginio bei teisių jį sukonfigūruoti. Perduokite portalo adresą tiksliai taip, kaip rodo naršyklė, įskaitant bet kurį kelią, kurio tikisi įrenginys, tada patikrinkite priskirtą adresą prieš testuodami ką nors už jo. Sąsajos sukūrimas iš anksto pašalina vieną netikėtumų klasę sąrankos metu.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Prisijunkite, tada patikrinkite fiksuota tvarka

Vykdykite tiksliai vieną VPN tvarkyklę vienu metu, nes NetworkManager profilis ir rankiniu būdu paleistas demonas kovos dėl maršrutų ir DNS. Išjunkite profilį prieš testuodami rankinį ryšį ir patvirtinkite, kad neliko senos tunelio sąsajos. Tada patikrinkite šia tvarka: tunelio adresas, maršrutas į vienintelį vidinį mazgą, kurio jums reikia, vardų skyrimas ir galiausiai tikra užklausa. Žalia piktograma įrodo autentifikaciją ir nieko daugiau.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Jei kuris nors žingsnis nepavyksta, sustokite ten, o ne testuokite kitą, nes DNS nesėkmė už sulaužyto maršruto nieko neišmoko. Prieš eksperimentuodami išsaugokite veikiančio profilio kopiją, nes ištrintas ryšio failas lengvai pametamas ir vargu atkuriamas. Laikykite pasiūlymo reikšmes toje pačioje pastaboje kaip įrenginio modelis ir programinės įrangos versija, nes ta pastaba yra skirtumas tarp migracijos ir archeologijos projekto, kai dėžė pakeičiama.