FortiGate IPsec Linux: kurš klients patiešām pievienojas

Jūsu Windows kolēģis importē FortiGate vedņa profilu un pēc minūtes jau ir tiešsaistē. Jūs instalējat to pašu piegādātāja pakotni Ubuntu, meklējat IPsec cilni un atrodat klientu, kas prot atvērt tikai SSL VPN portālu. Secinājums, kas parasti tiek izdarīts, ir divkārt nepareizs: vārteja jūs neatsaka, un Linux būvējums nav bojāts. Fortinet piegādā šo klientu tikai ar SSL VPN atbalstu, tāpēc mobilajam IPsec profilam nav kur dzīvot, un tas ir jāpārbūvē tur, kur runā IKEv1.

Vispirms izlemiet, kuru protokolu jūs patiešām saņēmāt

Šī pārbūve ir mehāniska, tiklīdz pārtraucat uzskatīt piegādātāja klientu par atsauces implementāciju.

FortiGate ierīces publicē gan SSL VPN, gan IPsec, un nodošanas e-pasts reti pasaka, kuru jums piešķīra. Portāla URL kopā ar pārlūka stila pieteikšanās lapu nozīmē SSL VPN, un Linux gadījumā atbilde tur ir openfortivpn, nevis zemāk dotā lauku atbilstība. Grupas identifikators kopā ar iepriekš koplietotu atslēgu nozīmē mobilo IPsec, ko apstrādā vpnc un strongSwan.

To sajaukt ir visbiežākais iemesls, kāpēc Linux mēģinājums mirst pirms pirmās fāzes pabeigšanas: klients piedāvā IKEv1 HTTPS portālam vai otrādi. Pirms kaut ko instalējat, lūdziet administratoram protokola nosaukumu rakstiski.

Četras akreditācijas datu vienības ceļo četros dažādos laukos

Vārds password lielākajā daļā nodošanu parādās divreiz un nozīmē divas dažādas lietas. Iepriekš koplietotā atslēga autentificē pašu peer, un tas ir mašīnas noslēpums, ko administrators nolasa no vārtejas konfigurācijas. Jūsu konta parole ir atsevišķa akreditācijas vienība, kas pierāda, kurš cilvēks ir aiz šī peer.

Pārējās divas vērtības ir vieglāk palaist garām. Grupas identifikators ir virkne, ko vednis ierakstīja IPsec grupas objektā, un 0 ir likumīga vērtība, nevis tukšs lauks. Priekšlikums aptver šifrēšanu, jaucēšanu un Diffie-Hellman grupu katrai fāzei, kā arī PFS iestatījumu, un katram tā punktam jāsaskan ar vārteju. Kad savienojums neizdodas 1. fāzē, gandrīz vienmēr vainīgs ir viens no šiem četriem, tāpēc pierakstiet tos atsevišķi, nevis sametiet vienā dialogā.

Kas jāsatur katram vpnc laukam

Instalējiet klientu kopā ar redaktora saskarni, pēc tam izveidojiet VPNC savienojumu:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Iestatiet vārteju uz FortiGate publisko adresi un grupas nosaukumu tieši uz identifikatoru no vārtejas, ieskaitot kailu nulli. Group password ņem iepriekš koplietoto atslēgu, bet lietotājvārds un parole ņem jūsu kontu, ar jebkuru tokenu pievienotu tā, kā vārteja sagaida. Papildu dialogā izvēlieties Diffie-Hellman grupu, ko nosauc priekšlikums, saskaņojiet PFS ar to pašu grupu, iespējojiet NAT šķērsošanu, kad klients atrodas aiz mājas maršrutētāja, un atstājiet mirušā peer noteikšanu vienā solī ar vārteju.

Grupas nosaukums ir lauks, ko izlaiž, jo tas šķiet neobligāts un noklusējuma nulle atgādina vietturi. Nosūtiet to tukšu, un klients pārraidīs citu identifikatoru nekā to, ko pārbauda vārteja. Ja profils joprojām neizdodas, salīdziniet papildu vērtības ar strādājošo Windows klientu, nevis ar foruma ierakstu citai vietnei.

Tas pats profils, rakstīts strongSwan

strongSwan ir labāks ilgtermiņa konteiners šīm vērtībām, jo konfigurācija ir teksta fails, ko varat pārskatīt un saglabāt:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Izlasiet priekšlikuma rindas pirms bloka, jo izsaukuma zīme beigās maina to nozīmi: tā piesprauž tieši šo vienu priekšlikumu un noņem alternatīvas, ko klients citādi piedāvātu. Vārteja, kas konfigurēta vienam transformāciju pārim, noraidīs klientu, kas atveras ar sarakstu, tāpēc tieši piespraušana pārvērš sarunas saskaņā. Paņemiet precīzus algoritmu nosaukumus no strādājošā vārtejas profila un aizstājiet vietturus ar savām vērtībām.

Abas autentifikācijas rindas nav liekas. PSK pierāda peer, XAuth bloks pierāda lietotāju, un jebkuras izlaišana atstāj fāzi, ko vārteja nepabeigs.

Izlasiet neizdevušos pirms maināt vēl vienu lauku

Strādājiet atpakaļ no simptoma, nevis atkārtoti randomizējiet dialogu. IKE SA, kas paceļas bez piešķirtas adreses, nozīmē, ka lietotāja autentifikācijas apmaiņa neizdevās vai nekad nenotika, tāpēc pārbaudiet kontu un tokena apstrādi. 1. fāze, kas nekad nebeidzas, norāda uz priekšlikumu, grupas identifikatoru vai agresīvo režīmu, un katrs no tiem tiek salīdzināts ar vārteju, ne tikai ar Windows klientu.

Tunelis, kas tiek izveidots un pēc tam mirst ik pēc dažām minūtēm, ir mirušā peer noteikšanas nesaskaņa starp abiem galiem; saskaņojiet vārtejas taimeri, nevis izslēdziet keepalive visur. Izveidots tunelis, kurā biroja saimnieki paliek nesasniedzami, parasti nozīmē, ka iespiestais apakštīkls tā arī nenokļuva vietējā maršrutēšanas tabulā, ko trešās puses klients var arī neizdarīt pats.

Beidzot nododiet strādājošās vērtības vārtejas īpašniekam: protokols, grupas identifikators, iepriekš koplietotā atslēga, priekšlikums, PFS un DPD lēmums. Tad nākamā Linux mašīna aizņems minūtes, nevis vakaru, un nevienam nebūs no jauna jāatklāj, ka grupas nosaukums bija nulle.