Linux-ൽ FortiGate IPsec: ഏത് ക്ലൈന്റാണ് യഥാർത്ഥത്തിൽ കണക്ട് ചെയ്യുന്നത്

നിങ്ങളുടെ Windows സഹപ്രവർത്തകൻ ഒരു FortiGate വിസാർഡ് പ്രൊഫൈൽ ഇറക്കുമതി ചെയ്ത് ഒരു മിനിറ്റിൽ ഓൺലൈനാകുന്നു. നിങ്ങൾ അതേ വെണ്ടർ പാക്കേജ് Ubuntu-യിൽ ഇൻസ്റ്റാൾ ചെയ്ത്, IPsec ടാബ് തിരയുമ്പോൾ, SSL VPN പോർട്ടൽ തുറക്കാൻ മാത്രം അറിയുന്ന ഒരു ക്ലൈന്റ് കണ്ടെത്തുന്നു. തുടർന്നുള്ള നിഗമനം സാധാരണയായി രണ്ട് തവണ തെറ്റാണ്: ഗേറ്റ്‌വേ നിങ്ങളെ നിരസിക്കുന്നില്ല, Linux ബിൽഡ് തകർന്നിട്ടില്ല. Fortinet ആ ക്ലൈന്റ് SSL VPN പിന്തുണയോടെ മാത്രമാണ് നൽകുന്നത്, അതിനാൽ മൊബൈൽ IPsec പ്രൊഫൈലിന് ജീവിക്കാൻ സ്ഥലമില്ല, IKEv1 സംസാരിക്കുന്ന എവിടെയെങ്കിലും അത് വീണ്ടും നിർമ്മിക്കണം.

ആദ്യം, യഥാർത്ഥത്തിൽ ഏത് പ്രോട്ടോക്കോളാണ് നിങ്ങൾക്ക് ലഭിച്ചതെന്ന് തീരുമാനിക്കുക

വെണ്ടർ ക്ലൈന്റിനെ റഫറൻസ് ഇംപ്ലിമെന്റേഷനായി കാണുന്നത് നിർത്തിയാൽ ആ പുനർനിർമ്മാണം യാന്ത്രികമാണ്.

FortiGate ഉപകരണങ്ങൾ SSL VPN ഉം IPsec ഉം പ്രസിദ്ധീകരിക്കുന്നു, കൈമാറ്റ ഇമെയിൽ ഏതാണ് നൽകിയതെന്ന് അപൂർവ്വമായി മാത്രം പറയുന്നു. പോർട്ടൽ URL-ഉം ബ്രൗസർ ശൈലിയിലുള്ള ലോഗിൻ പേജും എന്നാൽ SSL VPN, Linux-ൽ അവിടത്തെ ഉത്തരം openfortivpn ആണ്, താഴെയുള്ള ഫീൽഡ് മാപ്പിംഗ് അല്ല. ഗ്രൂപ്പ് ഐഡന്റിഫയറും മുൻകൂട്ടി പങ്കിട്ട കീയും എന്നാൽ മൊബൈൽ IPsec, അതാണ് vpnc-ഉം strongSwan-ഉം കൈകാര്യം ചെയ്യുന്നത്.

ഇതിൽ തെറ്റ് വരുത്തുന്നതാണ് Linux ശ്രമം ആദ്യ ഘട്ടം പൂർത്തിയാകുന്നതിന് മുൻപ് മരിക്കാനുള്ള ഏറ്റവും സാധാരണ കാരണം: ക്ലൈന്റ് ഒരു HTTPS പോർട്ടലിന് IKEv1 നൽകുന്നു, അല്ലെങ്കിൽ നേരെ മറിച്ച്. എന്തെങ്കിലും ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന് മുൻപ് അഡ്മിനിസ്ട്രേറ്ററിൽ നിന്ന് പ്രോട്ടോക്കോളിന്റെ പേര് എഴുതി വാങ്ങുക.

നാല് ക്രെഡൻഷ്യലുകൾ നാല് വ്യത്യസ്ത ഫീൽഡുകളിലൂടെ സഞ്ചരിക്കുന്നു

password എന്ന വാക്ക് മിക്ക കൈമാറ്റങ്ങളിലും രണ്ട് തവണ വരുന്നു, രണ്ട് വ്യത്യസ്ത കാര്യങ്ങളെ സൂചിപ്പിക്കുന്നു. മുൻകൂട്ടി പങ്കിട്ട കീ പിയറിനെ തന്നെ സാക്ഷ്യപ്പെടുത്തുന്നു, അത് അഡ്മിനിസ്ട്രേറ്റർ ഗേറ്റ്‌വേ കോൺഫിഗറേഷനിൽ നിന്ന് വായിക്കുന്ന മെഷീൻ രഹസ്യമാണ്. നിങ്ങളുടെ അക്കൗണ്ട് പാസ്‌വേഡ് ആ പിയറിന് പിന്നിൽ ഏത് മനുഷ്യനുണ്ടെന്ന് തെളിയിക്കുന്ന പ്രത്യേക ക്രെഡൻഷ്യലാണ്.

ബാക്കി രണ്ട് മൂല്യങ്ങൾ വിട്ടുപോകാൻ എളുപ്പമാണ്. ഗ്രൂപ്പ് ഐഡന്റിഫയർ വിസാർഡ് IPsec ഗ്രൂപ്പ് ഒബ്ജക്റ്റിൽ എഴുതിയ സ്ട്രിംഗാണ്, 0 എന്നത് ശൂന്യമായ ഫീൽഡല്ല, സാധുവായ മൂല്യമാണ്. നിർദ്ദേശം ഓരോ ഘട്ടത്തിനും എൻക്രിപ്ഷൻ, ഹാഷിംഗ്, Diffie-Hellman ഗ്രൂപ്പ് എന്നിവയും PFS ക്രമീകരണവും ഉൾക്കൊള്ളുന്നു, അതിലെ ഓരോ ഇനവും ഗേറ്റ്‌വേയുമായി യോജിക്കണം. 1-ാം ഘട്ടത്തിൽ കണക്ഷൻ പരാജയപ്പെടുമ്പോൾ, മിക്കവാറും ആ നാലിൽ ഒന്നാണ് കുറ്റവാളി, അതിനാൽ അവ ഒരു ഡയലോഗിൽ ഒഴിച്ചിടാതെ വെവ്വേറെ എഴുതി വയ്ക്കുക.

ഓരോ vpnc ഫീൽഡിലും എന്ത് വേണം

എഡിറ്റർ ഇന്റർഫേസിനൊപ്പം ക്ലൈന്റ് ഇൻസ്റ്റാൾ ചെയ്ത്, പിന്നീട് ഒരു VPNC കണക്ഷൻ സൃഷ്ടിക്കുക:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

ഗേറ്റ്‌വേയിൽ FortiGate-ന്റെ പൊതു വിലാസവും, ഗ്രൂപ്പ് നാമത്തിൽ ഗേറ്റ്‌വേയിലെ ഐഡന്റിഫയർ കൃത്യമായി, നഗ്നമായ പൂജ്യം ഉൾപ്പെടെ സജ്ജമാക്കുക. Group password മുൻകൂട്ടി പങ്കിട്ട കീ എടുക്കുന്നു, ഉപയോക്തൃനാമവും പാസ്‌വേഡും നിങ്ങളുടെ അക്കൗണ്ട് എടുക്കുന്നു, ഏതെങ്കിലും ടോക്കൺ ഗേറ്റ്‌വേ പ്രതീക്ഷിക്കുന്നതുപോലെ ചേർക്കുന്നു. വിപുലീകൃത ഡയലോഗിൽ, നിർദ്ദേശം പേരിടുന്ന Diffie-Hellman ഗ്രൂപ്പ് തിരഞ്ഞെടുക്കുക, PFS അതേ ഗ്രൂപ്പിലേക്ക് ഒപ്പിക്കുക, ക്ലൈന്റ് വീട്ടിലെ റൂട്ടറിന് പിന്നിലാണെങ്കിൽ NAT ട്രാവേഴ്സൽ സജീവമാക്കുക, ഡെഡ് പിയർ കണ്ടെത്തൽ ഗേറ്റ്‌വേയോട് ഒരേ ചുവടിൽ നിർത്തുക.

ഗ്രൂപ്പ് നാമം ഒഴിവാക്കുന്ന ഫീൽഡാണ്, കാരണം അത് ഓപ്ഷണലായി തോന്നുന്നു, സ്ഥിരസ്ഥിതി പൂജ്യം പ്ലേസ്‌ഹോൾഡർ പോലെ തോന്നുന്നു. അത് കാലിയായി അയച്ചാൽ, ഗേറ്റ്‌വേ പരിശോധിക്കുന്ന ഐഡന്റിഫയറിൽ നിന്ന് വ്യത്യസ്തമായ ഒന്ന് ക്ലൈന്റ് കൈമാറും. പ്രൊഫൈൽ ഇപ്പോഴും പരാജയപ്പെടുന്നുവെങ്കിൽ, വിപുലീകൃത മൂല്യങ്ങൾ മറ്റൊരു സൈറ്റിനുള്ള ഫോറം പോസ്റ്റുമായല്ല, പ്രവർത്തിക്കുന്ന Windows ക്ലൈന്റുമായി താരതമ്യം ചെയ്യുക.

അതേ പ്രൊഫൈൽ strongSwan-നായി എഴുതിയത്

ഈ മൂല്യങ്ങൾക്ക് strongSwan മികച്ച ദീർഘകാല പാത്രമാണ്, കാരണം കോൺഫിഗറേഷൻ നിങ്ങൾക്ക് പരിശോധിച്ച് സൂക്ഷിക്കാവുന്ന ഒരു ടെക്സ്റ്റ് ഫയലാണ്:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

ബ്ലോക്കിന് മുൻപ് നിർദ്ദേശത്തിന്റെ വരികൾ വായിക്കുക, കാരണം അവസാനത്തെ ആശ്ചര്യചിഹ്നം അവയുടെ അർത്ഥം മാറ്റുന്നു: അത് ആ ഒരു നിർദ്ദേശം പിന്ന് ചെയ്ത്, ക്ലൈന്റ് അല്ലാത്തപക്ഷം നൽകുന്ന ബദലുകൾ നീക്കം ചെയ്യുന്നു. ഒരു ട്രാൻസ്ഫോം ജോടിക്കായി കോൺഫിഗർ ചെയ്ത ഗേറ്റ്‌വേ പട്ടികയോടെ തുറക്കുന്ന ക്ലൈന്റിനെ നിരസിക്കും, അതിനാൽ പിന്നിംഗാണ് ചർച്ചയെ പൊരുത്തമാക്കി മാറ്റുന്നത്. പ്രവർത്തിക്കുന്ന ഗേറ്റ്‌വേ പ്രൊഫൈലിൽ നിന്ന് കൃത്യമായ അൽഗോരിതം പേരുകൾ എടുത്ത്, പ്ലേസ്‌ഹോൾഡറുകൾ നിങ്ങളുടെ മൂല്യങ്ങളാൽ മാറ്റുക.

രണ്ട് പ്രാമാണീകരണ വരികൾ അനാവശ്യമല്ല. PSK പിയറിനെ തെളിയിക്കുന്നു, XAuth ബ്ലോക്ക് ഉപയോക്താവിനെ, ഏതെങ്കിലും ഒന്ന് ഒഴിവാക്കിയാൽ ഗേറ്റ്‌വേ പൂർത്തിയാക്കാത്ത ഒരു ഘട്ടം അവശേഷിക്കും.

മറ്റൊരു ഫീൽഡ് മാറ്റുന്നതിന് മുൻപ് പരാജയം വായിക്കുക

ഡയലോഗ് വീണ്ടും റാൻഡമൈസ് ചെയ്യുന്നതിന് പകരം ലക്ഷണത്തിൽ നിന്ന് പിന്നോട്ട് പ്രവർത്തിക്കുക. അനുവദിച്ച വിലാസമില്ലാതെ ഉയരുന്ന IKE SA എന്നാൽ ഉപയോക്തൃ പ്രാമാണീകരണ കൈമാറ്റം പരാജയപ്പെട്ടു അല്ലെങ്കിൽ ഒരിക്കലും നടന്നില്ല, അതിനാൽ അക്കൗണ്ടും ടോക്കൺ കൈകാര്യം ചെയ്യലും പരിശോധിക്കുക. ഒരിക്കലും പൂർത്തിയാകാത്ത 1-ാം ഘട്ടം നിർദ്ദേശത്തെയും ഗ്രൂപ്പ് ഐഡന്റിഫയറിനെയും ആക്രമണ മോഡിനെയും ചൂണ്ടിക്കാണിക്കുന്നു, അവയോരോന്നും Windows ക്ലൈന്റുമായി മാത്രമല്ല, ഗേറ്റ്‌വേയുമായി താരതമ്യം ചെയ്യുന്നു.

സ്ഥാപിക്കപ്പെട്ട ശേഷം ഇടയ്ക്കിടെ മരിക്കുന്ന ടണൽ ഇരു അറ്റങ്ങൾക്കിടയിലെ ഡെഡ് പിയർ കണ്ടെത്തലിന്റെ യോജിപ്പില്ലായ്മയാണ്; എല്ലായിടത്തും keepalive ഓഫ് ചെയ്യുന്നതിന് പകരം ഗേറ്റ്‌വേ ടൈമറുമായി ഒപ്പിക്കുക. സ്ഥാപിത ടണലിൽ ഓഫീസ് ഹോസ്റ്റുകൾ എത്താനാകാതെ നിൽക്കുന്നുവെങ്കിൽ, സാധാരണയായി തള്ളിയ ഉപനെറ്റ്‌വർക്ക് ഒരിക്കലും പ്രാദേശിക റൗട്ടിംഗ് പട്ടികയിൽ എത്തിയില്ല എന്നാണർത്ഥം, അത് മൂന്നാം കക്ഷി ക്ലൈന്റ് സ്വയം ചെയ്തെന്ന് വരില്ല.

തീർന്നാൽ പ്രവർത്തിക്കുന്ന മൂല്യങ്ങൾ ഗേറ്റ്‌വേ ഉടമയ്ക്ക് തിരികെ നൽകുക: പ്രോട്ടോക്കോൾ, ഗ്രൂപ്പ് ഐഡന്റിഫയർ, മുൻകൂട്ടി പങ്കിട്ട കീ, നിർദ്ദേശം, PFS, DPD തീരുമാനം. അപ്പോൾ അടുത്ത Linux യന്ത്രം ഒരു വൈകുന്നേരത്തിന് പകരം കുറച്ച് മിനിറ്റുകൾ എടുക്കും, ഗ്രൂപ്പ് നാമം പൂജ്യമായിരുന്നു എന്ന് ആരും വീണ്ടും കണ്ടെത്തേണ്ടതില്ല.