Linux वर FortiGate IPsec: कोणता क्लायंट प्रत्यक्षात जोडतो

तुमचे Windows वरील सहकारी FortiGate विझार्ड प्रोफाइल आयात करतात आणि एका मिनिटात ऑनलाइन होतात. तुम्ही तेच विक्रेता पॅकेज Ubuntu वर स्थापित करता, IPsec टॅब शोधता आणि असे क्लायंट सापडते ज्याला फक्त SSL VPN पोर्टल उघडता येते. त्यानंतर येणारा निष्कर्ष सामान्यतः दोन बाजूंनी चुकीचा असतो: गेटवे तुम्हाला नाकारत नाही आणि Linux बिल्ड तुटलेली नाही. Fortinet तो क्लायंट फक्त SSL VPN समर्थनासह पाठवते, त्यामुळे मोबाइल IPsec प्रोफाइलला राहण्याची जागा नाही आणि IKEv1 बोलली जाते तिथे ते पुन्हा बांधावे लागते.

प्रथम ठरवा की तुम्हाला प्रत्यक्षात कोणता प्रोटोकॉल दिला आहे

विक्रेत्याच्या क्लायंटला संदर्भ अंमलबजावणी मानणे थांबवताच हे पुनर्बांधणी यांत्रिक होते.

FortiGate उपकरणे SSL VPN आणि IPsec दोन्ही प्रकाशित करतात, आणि हस्तांतरण ईमेल क्वचितच सांगतो की तुम्हाला कोणते दिले. पोर्टल URL सोबत ब्राउझर-शैलीचे लॉगिन पृष्ठ म्हणजे SSL VPN, आणि Linux वर तिथले उत्तर openfortivpn आहे, खालील फील्ड मॅपिंग नाही. गट ओळखकर्ता सोबत पूर्व-सामायिक की म्हणजे मोबाइल IPsec, जे vpnc आणि strongSwan सांभाळतात.

यात चूक करणे हे Linux प्रयत्न पहिला टप्पा पूर्ण होण्यापूर्वी मरण्याचे सर्वात सामान्य कारण आहे: क्लायंट HTTPS पोर्टलला IKEv1 देऊ करत आहे किंवा उलट. काहीही स्थापित करण्यापूर्वी प्रशासकाकडून प्रोटोकॉलचे नाव लेखी मागा.

चार क्रेडेन्शियल्स चार वेगवेगळ्या फील्डमधून प्रवास करतात

password हा शब्द बहुतेक हस्तांतरणांमध्ये दोनदा येतो आणि दोन वेगवेगळ्या गोष्टी दर्शवतो. पूर्व-सामायिक की स्वतः पीअरचे प्रमाणीकरण करते आणि ती मशीन गुप्त आहे जी प्रशासक गेटवे कॉन्फिगरेशनमधून वाचतो. तुमचा खाते पासवर्ड हे वेगळे क्रेडेन्शियल आहे जे त्या पीअरच्या मागे कोणती व्यक्ती आहे हे सिद्ध करते.

उर्वरित दोन मूल्ये चुकवणे सोपे आहे. गट ओळखकर्ता म्हणजे विझार्डने IPsec गट ऑब्जेक्टमध्ये लिहिलेली स्ट्रिंग, आणि 0 हे रिकामे फील्ड नसून वैध मूल्य आहे. प्रस्ताव प्रत्येक टप्प्यासाठी एन्क्रिप्शन, हॅशिंग आणि Diffie-Hellman गट, तसेच PFS सेटिंग समाविष्ट करतो, आणि त्यातील प्रत्येक बाब गेटवेशी जुळली पाहिजे. कनेक्शन 1ल्या टप्प्यात अयशस्वी झाल्यास जवळपास नेहमी त्या चारपैकी एकच दोषी असतो, म्हणून ते एका संवादात टाकण्याऐवजी वेगवेगळे लिहून ठेवा.

प्रत्येक vpnc फील्डमध्ये काय असावे

क्लायंट संपादक इंटरफेससह स्थापित करा, नंतर VPNC कनेक्शन तयार करा:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

गेटवे FortiGate च्या सार्वजनिक पत्त्यावर आणि गटाचे नाव गेटवेमधील ओळखकर्त्यावर तंतोतंत, उघडे शून्यासह सेट करा. Group password पूर्व-सामायिक की घेते, तर वापरकर्तानाव आणि पासवर्ड तुमचे खाते घेतात, कोणतेही टोकन गेटवे अपेक्षित असल्याप्रमाणे जोडून. प्रगत संवादात प्रस्तावात नमूद केलेला Diffie-Hellman गट निवडा, PFS त्याच गटाशी जुळवा, क्लायंट घरगुती राउटरच्या मागे असल्यास NAT ट्रॅव्हर्सल सक्षम करा आणि डेड पीअर शोध गेटवेच्या त्याच पावलात ठेवा.

गटाचे नाव हे वगळले जाणारे फील्ड आहे, कारण ते ऐच्छिक वाटते आणि डीफॉल्ट शून्य प्लेसहोल्डरसारखे वाटते. ते रिकामे पाठवले तर क्लायंट गेटवे ज्या ओळखकर्त्याची पडताळणी करतो त्यापेक्षा वेगळा ओळखकर्ता पाठवतो. प्रोफाइल तरीही अयशस्वी झाल्यास प्रगत मूल्यांची तुलना दुसऱ्या साइटच्या फोरम पोस्टशी नाही, तर चालू असलेल्या Windows क्लायंटशी करा.

तेच प्रोफाइल strongSwan साठी लिहिलेले

या मूल्यांसाठी strongSwan हा चांगला दीर्घकालीन पात्र आहे, कारण कॉन्फिगरेशन ही मजकूर फाइल आहे जी तुम्ही पुनरावलोकन करून ठेवू शकता:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

ब्लॉकपूर्वी प्रस्तावाच्या ओळी वाचा, कारण शेवटचे उद्गारवाचक चिन्ह त्यांचा अर्थ बदलते: ते तो एकच प्रस्ताव पिन करते आणि क्लायंट अन्यथा देऊ करेल ते पर्याय काढून टाकते. एका रूपांतरण जोडीसाठी कॉन्फिगर केलेला गेटवे यादीने उघडणाऱ्या क्लायंटला नाकारेल, म्हणून पिनिंगच वाटाघाटीचे जुळणीत रूपांतर करते. चालू असलेल्या गेटवे प्रोफाइलमधून अल्गोरिदमची नेमकी नावे घ्या आणि प्लेसहोल्डर तुमच्या मूल्यांनी बदला.

दोन प्रमाणीकरण ओळी अनावश्यक नाहीत. PSK पीअर सिद्ध करते, XAuth ब्लॉक वापरकर्ता सिद्ध करते, आणि यापैकी कोणतेही सोडल्यास गेटवे पूर्ण न करणारा टप्पा राहतो.

दुसरे फील्ड बदलण्यापूर्वी अयशस्वीता वाचा

संवाद पुन्हा यादृच्छिक करण्याऐवजी लक्षणापासून मागे जा. वाटप केलेल्या पत्त्याशिवाय वर येणारा IKE SA म्हणजे वापरकर्ता प्रमाणीकरणाची देवाणघेवाण अयशस्वी झाली किंवा कधीच झाली नाही, म्हणून खाते आणि टोकन हाताळणी तपासा. कधीही पूर्ण न होणारा 1ला टप्पा प्रस्ताव, गट ओळखकर्ता किंवा आक्रमक मोडकडे निर्देश करतो, आणि त्यातील प्रत्येकाची तुलना केवळ Windows क्लायंटशी नाही, तर गेटवेशी होते.

स्थापित होऊन नंतर दर काही मिनिटांनी मरणारा बोगदा म्हणजे दोन्ही टोकांमधील डेड पीअर शोधाचा मतभेद; सर्वत्र keepalive बंद करण्याऐवजी गेटवेच्या टाइमरशी जुळवा. स्थापित बोगद्यात कार्यालयीन होस्ट अपरिचित राहिल्यास सामान्यतः ढकललेले सबनेट स्थानिक राउटिंग टेबलमध्ये कधीच गेले नाही असे असते, जे तृतीय-पक्ष क्लायंट स्वतः करणार नाही.

पूर्ण झाल्यावर कार्यरत मूल्ये गेटवे मालकाला परत द्या: प्रोटोकॉल, गट ओळखकर्ता, पूर्व-सामायिक की, प्रस्ताव, PFS आणि DPD निर्णय. मग पुढील Linux मशीन संपूर्ण संध्याकाळऐवजी काही मिनिटे घेईल, आणि गटाचे नाव शून्य होते हे कोणालाही पुन्हा शोधावे लागणार नाही.