Усогласете го Linux VPN клиентот со протоколот на стариот уред

Четири протоколни фамилии покриваат речиси секој уред што сѐ уште стои во рек, и секоја на Linux пропаѓа поинаку. Објавените порти и конфигурираните предлози на далечниот крај го одредуваат вашиот пакет, а не дистрибуцијата што случајно ја извршувате. Да инсталирате што спомнува објава на форум и потоа да уредувате додека нешто не се поврзе е начинот на кој исчезнува едно попладне. Прочитајте го уредот, инсталирајте второ, проверете трето.

Запишете што објавува далечниот крај

Запишете го протоколот, портите и автентикацијата што ги очекува уредот пред да отворите менаџер на пакети. Четири фамилии покриваат најголем дел од старата опрема, а табелата подолу е целата одлука на еден екран.

Прирачникот и сопствените правила на огнениот ѕид на уредот се посигурни од името на протоколот на неговата страница за најава. Уред што рекламира IPsec може да зборува само IKEv1, а изданието на фирмверот што никој не го применил може да биде тоа што на крајот додава IKEv2. Потврдете го и патот на податоците и портата за поставување, бидејќи токму тука старата опрема и современите мрежи се разидуваат. Да згрешите во овој чекор значи да го дебагирате вашиот клиент против функција што другата страна никогаш ја немала.

PPTP: докажете GRE пред да го уредувате pppd

PPTP на Linux не е демон што го стартувате, туку повик на pppd, а параметрите на врската живеат во именувана peer-датотека што pppd ја чита кога ќе биде повикан. Дистрибуциите сѐ уште го пакуваат, иако познатите слабости на протоколот го прават несоодветен за нешто чувствително, затоа држете го строго за уред што не нуди ништо друго. Внимавајте на GRE додека клиентот преговара, со кратко снимање наместо претпоставка. Неуспехот што губи најмногу време не е автентикацијата туку патот на податоците што недостига.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Ако поставувањето заврши, а врската никогаш не пренесува сообраќај, посомневајте се во патот GRE пред да ги допрете акредитивите. Облачните безбедносни групи бараат експлицитно правило за протоколот 47, а некои мрежи целосно го блокираат без видлива грешка. Тестирајте од мрежата што навистина ќе ја користите, а не од лабораторија што дозволува сѐ.

L2TP/IPsec: еден соодветен предлог победува десет обиди

Читајте го дневникот на демонот наместо дијалогот на работната површина, бидејќи дијалогот спојува неколку различни неуспеси во една порака. Грешката NO_PROPOSAL_CHOSEN припаѓа на првата фаза: клиентот понудил шифрирање, хеш или Diffie-Hellman група што серверот нема да ја прифати. Набројте што поддржува уредот и напишете еден соодветен предлог, бидејќи случајните комбинации најчесто ја даваат истата грешка побавно. На работна површина практичниот клиент е додатокот NetworkManager L2TP со strongSwan или Libreswan под него.

Низа за предлог што за додаток на работна површина значи едно, за демонот на кого му ја предава работата може да значи нешто друго, затоа држете ја синтаксата соодветна на слојот што го уредувате. Ако уредот бара и тајна за тунелот, тоа е одделна фаза од клучот IPsec. Потврдете за кое од двете прашува интерфејсот пред да напишете нешто во него.

Агресивен IKEv1 со XAuth и случајот со порталот

Крајна точка во стил на FortiGate обично сака агресивен режим со XAuth и адреса во конфигуриран режим, што графички додаток може воопшто да не го прикаже. Вградениот демон се справува со тоа, а блокот подолу е формата на таа конфигурација, не целосна датотека. Проверете ја тековната документација на производителот за вредностите на предлогот.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Поновите изданија на strongSwan користеа xauth=client таму каде верзијата 5 користи leftauth2=xauth, па копиран фрагмент може да пропадне само поради синтакса. За TLS портал openconnect, што го зборува протоколот AnyConnect, се справува со Cisco и повеќето преименувани брендови, и му треба TUN уред плус привилегии да го конфигурира. Предадете ја адресата на порталот точно како што ја покажува прелистувачот, вклучително секоја патека што ја очекува уредот, потоа проверете ја доделената адреса пред да тестирате нешто зад неа. Однапред создавањето на интерфејсот отстранува една класа изненадувања при поставувањето.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Поврзете се, потоа проверете во фиксен редослед

Извршувајте точно еден VPN менаџер истовремено, бидејќи профилот на NetworkManager и рачно стартуван демон ќе се борат за рути и DNS. Спуштете го профилот пред да тестирате рачна врска и потврдете дека не преживеал стар интерфејс на тунел. Потоа проверете по овој редослед: адреса на тунелот, рута до единствениот внатрешен домаќин што ви треба, разрешување имиња и на крајот вистинско барање. Зелена икона докажува автентикација и ништо друго.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Ако некој чекор пропадне, застанете таму наместо да го тестирате следниот, бидејќи DNS неуспех низводно од скршена рута не ве учи на ништо. Зачувајте копија од работниот профил пред да експериментирате, бидејќи избришана датотека за врска лесно се губи и е мачно да се повтори. Чувајте ги вредностите на предлогот во истата белешка како моделот на уредот и верзијата на фирмверот, бидејќи таа белешка е разликата меѓу миграција и археолошки проект кога кутијата ќе се замени.