FortiGate IPsec на Linux: кој клиент всушност се поврзува

Вашиот колега на Windows увезува профил од волшебникот на FortiGate и е онлајн за една минута. Вие го инсталирате истиот пакет од производителот на Ubuntu, барате јазиче IPsec и наоѓате клиент што знае само да отвори SSL VPN портал. Заклучокот што следи обично е погрешен двапати: порталот не ве одбива, и Linux-градбата не е расипана. Fortinet го испорачува тој клиент само со поддршка за SSL VPN, па мобилниот IPsec профил нема каде да живее и мора повторно да се изгради некаде каде што се зборува IKEv1.

Прво одлучете кој протокол всушност ви е даден

Таа повторна изградба е механичка штом престанете да го третирате клиентот на производителот како референтна имплементација.

Уредите FortiGate објавуваат и SSL VPN и IPsec, а е-поштата за предавање ретко кажува кој ви е доделен. URL на портал плус страница за најава во стил на прелистувач значи SSL VPN, а на Linux таму одговорот е openfortivpn, не мапирањето на полињата подолу. Идентификатор на група плус претходно споделен клуч значи мобилен IPsec, со што се справуваат vpnc и strongSwan.

Грешката тука е најчестата причина linux-обидот да умре пред првата фаза да заврши: клиентот му нуди IKEv1 на HTTPS портал или обратно. Побарајте од администраторот името на протоколот писмено пред да инсталирате било што.

Четири тајни патуваат во четири различни полиња

Зборот password се појавува двапати во повеќето предавања и значи две различни работи. Претходно споделениот клуч го автентицира самиот peer и тоа е машинска тајна што администраторот ја чита од конфигурацијата на порталот. Лозинката на вашата сметка е одделна тајна што докажува кој човек стои зад тој peer.

Другите две вредности полесно се пропуштаат. Идентификаторот на групата е низата што волшебникот ја запишал во објектот за група IPsec, а 0 е легитимна вредност, не празно поле. Предлогот покрива шифрирање, хеширање и Diffie-Hellman група за секоја фаза, плус поставката PFS, и секоја негова ставка мора да се совпаѓа со порталот. Кога врската паѓа во фаза 1, речиси секогаш виновник е една од тие четири, затоа запишете ги одделно наместо да ги нафрлате во еден дијалог.

Што мора да содржи секое поле на vpnc

Инсталирајте го клиентот заедно со уредувачкото сучеље, потоа создадете VPNC врска:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Поставете го порталот на јавната адреса на FortiGate, а името на групата точно на идентификаторот од порталот, вклучувајќи гола нула. Group password ја зема претходно споделената тајна, додека корисничкото име и лозинката ја земаат вашата сметка, со секој токен додаден како што порталот очекува. Во напредниот дијалог изберете ја Diffie-Hellman групата што ја наведува предлогот, усогласете го PFS со истата група, овозможете NAT пробив кога клиентот е зад домашен рутер и оставете го откривањето мртов peer во чекор со порталот.

Името на групата е полето што се прескокнува, зашто изгледа изборно, а стандардната нула наликува на месторезерват. Испратете го празно и клиентот пренесува различен идентификатор од оној што порталот го проверува. Ако профилот и понатаму паѓа, споредете ги напредните вредности со работниот Windows клиент, а не со форумски пост за друг локалитет.

Истиот профил напишан за strongSwan

strongSwan е подобар долгорочен сад за овие вредности, бидејќи конфигурацијата е текст-датотека што можете да ја прегледате и чувате:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Прочитајте ги редовите на предлогот пред блокот, бидејќи извичникот на крајот го менува нивното значење: го приковува токму тој предлог и ги отстранува алтернативите што клиентот инаку би ги понудил. Портал конфигуриран за еден пар трансформации ќе одбие клиент што се отвора со список, па приковувањето е тоа што преговарањето го претвора во совпаѓање. Земете ги точните имиња на алгоритмите од работниот профил на порталот и заменете ги месторезервите со свои вредности.

Двата реда за автентикација не се излишни. PSK го докажува peer-от, XAuth блокот го докажува корисникот, а испуштањето на кое било од двете остава фаза што порталот нема да ја заврши.

Прочитајте го неуспехот пред да смените уште едно поле

Работете наназад од симптомот наместо повторно да го менувате дијалогот по случаен избор. IKE SA што се крева без доделена адреса значи дека размената за автентикација на корисникот не успеала или никогаш не се извршила, затоа проверете ја сметката и ракувањето со токенот. Фаза 1 што никогаш не завршува укажува на предлогот, идентификаторот на групата или агресивниот режим, и секој од нив се споредува со порталот, не само со Windows клиентот.

Тунел што се воспоставува и потоа умира на секои неколку минути е несогласување за откривање мртов peer меѓу двата краја; усогласете го тајмерот на порталот наместо да ги исклучите keepalive-ите насекаде. Воспоставен тунел каде што канцелариските домаќини остануваат недостапни обично значи дека турканата подмрежа никогаш не стигнала до локалната табела за рутирање, што клиент од трета страна можеби не го прави сам.

Вратете ги работните вредности на сопственикот на порталот кога ќе завршите: протокол, идентификатор на група, претходно споделен клуч, предлог, PFS и одлуката за DPD. Следната Linux машина тогаш трае минути наместо вечер, и никој не мора повторно да открие дека името на групата било нула.