Linux дээрх FortiGate IPsec: аль клиент үнэхээр холбогддог

Linux-ийн нийлүүлэгчийн клиент зөвхөн SSL VPN ярьдаг. Зөөврийн IPsec профайлыг vpnc эсвэл strongSwan дээр дахин бүтээх ёстой бөгөөд дөрвөн талбар гарцтай нийцэх ёстой.

Windows дээрх таны хамтран ажиллагч FortiGate-ийн илбэчийн профайлыг импортлоод нэг минутын дотор онлайн болдог. Та ижил нийлүүлэгчийн багцыг Ubuntu дээр суулгаж, IPsec табыг хайж, зөвхөн SSL VPN портал нээх чадвартай клиент олно. Үүнээс гарах дүгнэлт ихэвчлэн хоёр талаас буруу: гарц таныг татгалзахгүй байгаа бөгөөд Linux бүтээц эвдэрээгүй. Fortinet тэр клиентийг зөвхөн SSL VPN дэмжлэгтэйгээр нийлүүлдэг тул зөөврийн IPsec профайл амьдрах орон зайгүй бөгөөд IKEv1 ярьдаг газарт дахин бүтээх ёстой.

Эхлээд танд яг аль протокол өгснийг шийдээрэй

Нийлүүлэгчийн клиентийг жишиг хэрэгжүүлэлт гэж үзэхээ болиход тэр дахин бүтээх ажил механик болно.

FortiGate төхөөрөмжүүд SSL VPN болон IPsec хоёуланг нь нийтэлдэг бөгөөд шилжүүлгийн имэйл аль нь олгогдсоныг ховор хэлдэг. Портал URL болон хөтчийн хэв маягтай нэвтрэх хуудас нь SSL VPN гэсэн үг, Linux дээр тэндхийн хариулт нь openfortivpn, доорх талбарын зураглал биш. Бүлгийн танигч болон урьдчилан хуваалцсан түлхүүр нь зөөврийн IPsec гэсэн үг бөгөөд үүнийг vpnc болон strongSwan хариуцдаг.

Үүнийг буруу хийх нь Linux оролдлого эхний үе шат дуусахаас өмнө үхэх хамгийн түгээмэл шалтгаан: клиент HTTPS порталд IKEv1 санал болгож байна, эсвэл эсрэгээрээ. Ямар нэг зүйл суулгахаас өмнө администратороос протоколын нэрийг бичгээр асуугаарай.

Дөрвөн итгэмжлэл дөрвөн өөр талбарт аялдаг

password гэдэг үг ихэнх шилжүүлэгт хоёр удаа гарч, хоёр өөр зүйлийг илэрхийлдэг. Урьдчилан хуваалцсан түлхүүр нь хамтрагчийг өөрөө баталгаажуулдаг бөгөөд энэ нь администратор гарцын тохиргооноос уншдаг машины нууц юм. Харин таны бүртгэлийн нууц үг тэр хамтрагчийн ард ямар хүн байгааг нотолсон тусдаа итгэмжлэл.

Үлдсэн хоёр утгыг анзаарахгүй өнгөрөөхөд хялбар. Бүлгийн танигч нь илбэч IPsec бүлгийн объектод бичсэн мөр, 0 нь хоосон талбар биш, хууль ёсны утга. Санал нь үе шат бүрийн шифрлэлт, хэш, Diffie-Hellman бүлэг, мөн PFS тохиргоог хамардаг бөгөөд түүний зүйл бүр гарцтай нийцэх ёстой. Холболт 1-р үе шатанд бүтэлгүйтвэл буруутан нь бараг үргэлж тэдгээр дөрвийн нэг, тиймээс тэдгээрийг нэг харилцан ярианд хийхгүй, тус тусад нь бичээрэй.

vpnc-ийн талбар бүр юу агуулах ёстой

Клиентийг засварлагчийн интерфэйстэй хамт суулгаад, дараа нь VPNC холболт үүсгээрэй:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Гарцыг FortiGate-ийн нийтийн хаягт, бүлгийн нэрийг гарц дахь танигчтай яг таг, нүцгэн тэг оролцуулан тохируулна. Group password урьдчилан хуваалцсан түлхүүрийг авдаг бол хэрэглэгчийн нэр, нууц үг таны бүртгэлийг авна, ямар ч токеныг гарц хүлээж байгаачлан хавсаргана. Нарийвчилсан харилцан ярианд саналд дурдсан Diffie-Hellman бүлгийг сонгож, PFS-ийг мөн бүлэгт тааруулж, клиент гэрийн чиглүүлэгчийн ард байвал NAT дамжуулалтыг идэвхжүүлж, үхсэн хамтрагчийн илрүүлэлтийг гарцтай ижил алхамд байлгана.

Бүлгийн нэр бол алгасах талбар, учир нь тэдгээр заавал биш мэт харагдаж, өгөгдмөл тэг нь орлуулагч мэт санагддаг. Хоосон илгээвэл клиент гарцын шалгадаг танигчаас өөр танигч дамжуулна. Профайл бүтэлгүй хэвээр байвал нарийвчилсан утгыг өөр сайтын форумын нийтлэлтэй биш, ажиллаж байгаа Windows клиенттэй харьцуул.

Мөн профайлыг strongSwan-д зориулж бичсэн

Эдгээр утгын хувьд strongSwan нь илүү сайн урт хугацааны сав, учир нь тохиргоо нь хянаж хадгалж болох текст файл:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Блокоос өмнө саналын мөрүүдийг уншаарай, учир нь төгсгөлийн анхаарлын тэмдэг тэдгээрийн утгыг өөрчилдөг: энэ нь тэр нэг саналыг бэхэлж, клиент өөрөөр санал болгох хувилбаруудыг хасдаг. Нэг хувиргалтын хосод тохируулсан гарц жагсаалтаар нээгддэг клиентийг татгалзана, тиймээс бэхэлгээ нь хэлэлцээрийг тохиролцоо болгодог. Ажиллаж байгаа гарцын профайлаас алгоритмын яг нэрийг авч, орлуулагчуудыг өөрийн утгаар соль.

Баталгаажуулалтын хоёр мөр илүүдэл биш. PSK хамтрагчийг, XAuth блок хэрэглэгчийг нотолдог бөгөөд аль нэгийг нь орхивол гарц дуусгахгүй үе шат үлдэнэ.

Өөр талбар солихоос өмнө алдааг унш

Харилцан яриаг дахин санамсаргүй болгохын оронд шинж тэмдгээс ухраад ажилла. Хуваарилагдсан хаяггүй өргөгддөг IKE SA нь хэрэглэгчийн баталгаажуулалтын солилцоо бүтэлгүйтсэн эсвэл огт ажиллаагүй гэсэн үг тул бүртгэл болон токены боловсруулалтыг шалга. Хэзээ ч дуусдаггүй 1-р үе шат нь санал, бүлгийн танигч эсвэл түрэмгий горимд заадаг бөгөөд тэдгээр бүр нь зөвхөн Windows клиенттэй биш, гарцтай харьцуулагддаг.

Бүрээс нь тогтсоны дараа хэдэн минут тутам үхдэг бол хоёр үзүүрийн хооронд үхсэн хамтрагчийн илрүүлэлтийн зөрүү; keepalive-уудыг хаа сайгүй унтраахын оронд гарцын таймерт тааруул. Тогтсон бүрээсэнд оффисын хостүүд хүрч болохгүй хэвээр байвал ихэвчлэн түлхэгдсэн дэд сүлжээ локал чиглүүлэлтийн хүснэгтэд огт орж ирээгүй гэсэн үг бөгөөд гуравдагч талын клиент үүнийг өөрөө хийхгүй байж болно.

Дуусахад ажиллаж байгаа утгуудыг гарцын эзэнд буцааж өг: протокол, бүлгийн танигч, урьдчилан хуваалцсан түлхүүр, санал, PFS болон DPD шийдвэр. Тэгвэл дараагийн Linux машин бүтэн оройн оронд хэдхэн минут зарцуулж, бүлгийн нэр тэг байсныг хэн ч дахин нээх шаардлагагүй.

Холбоотой нийтлэлүүд