FortiGate IPsec di Linux: klien mana yang benar-benar bersambung

Rakan Windows anda mengimport profil wizard FortiGate dan dalam talian dalam satu minit. Anda memasang pakej vendor yang sama pada Ubuntu, mencari tab IPsec, dan menemui klien yang hanya tahu membuka SSL VPN. Kesimpulan yang menyusul biasanya salah dua kali: gateway tidak menolak anda, dan binaan Linux tidak rosak. Fortinet menghantar klien itu dengan sokongan SSL VPN sahaja, jadi profil IPsec mudah alih tidak ada tempat untuk tinggal dan mesti dibina semula di tempat yang bercakap IKEv1.

Pertama, tentukan protokol mana yang sebenarnya anda terima

Pembinaan semula itu mekanikal sebaik sahaja anda berhenti menganggap klien vendor sebagai pelaksanaan rujukan.

Peranti FortiGate menerbitkan kedua-dua SSL VPN dan IPsec, dan e-mel penyerahan jarang menyatakan yang mana anda diberi. URL portal serta halaman log masuk gaya pelayar bermaksud SSL VPN, dan pada Linux jawapannya di situ ialah openfortivpn, bukan pemetaan medan di bawah. Pengenal kumpulan serta kunci yang dikongsi terlebih dahulu bermaksud IPsec mudah alih, yang dikendalikan vpnc dan strongSwan.

Tersilap dalam hal ini ialah sebab paling biasa percubaan Linux mati sebelum fasa pertama selesai: klien menawarkan IKEv1 kepada portal HTTPS atau sebaliknya. Minta nama protokol secara bertulis daripada pentadbir sebelum memasang apa-apa.

Empat kelayakan bergerak dalam empat medan berbeza

Perkataan password muncul dua kali dalam kebanyakan penyerahan dan bermaksud dua perkara berbeza. Kunci yang dikongsi terlebih dahulu mengesahkan rakan itu sendiri, dan ia adalah rahsia mesin yang dibaca pentadbir daripada konfigurasi gateway. Kata laluan akaun anda ialah kelayakan berasingan yang membuktikan manusia mana yang berada di belakang rakan itu.

Dua nilai lain lebih mudah terlepas pandang. Pengenal kumpulan ialah rentetan yang ditulis wizard ke dalam objek kumpulan IPsec, dan 0 ialah nilai sah, bukan medan kosong. Cadangan merangkumi penyulitan, pencincangan dan kumpulan Diffie-Hellman bagi setiap fasa, serta tetapan PFS, dan setiap item di dalamnya mesti bersetuju dengan gateway. Apabila sambungan gagal pada fasa 1, hampir selalu salah satu daripada empat itu punca, jadi catatkan secara berasingan daripada melontarnya ke dalam satu dialog.

Apa yang perlu terkandung dalam setiap medan vpnc

Pasang klien bersama antara muka editor, kemudian buat sambungan VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Tetapkan gateway kepada alamat awam FortiGate, dan tetapkan nama kumpulan tepat kepada pengenal daripada gateway, termasuk sifar kosong. Group password mengambil kunci yang dikongsi terlebih dahulu, manakala nama pengguna dan kata laluan mengambil akaun anda, dengan sebarang token ditambah seperti yang dijangka gateway. Dalam dialog lanjutan, pilih kumpulan Diffie-Hellman yang dinamakan cadangan, padankan PFS dengan kumpulan yang sama, dayakan traversal NAT apabila klien berada di belakang penghala rumah, dan biarkan pengesanan rakan mati seiring dengan gateway.

Nama kumpulan ialah medan yang dilangkau, kerana ia kelihatan pilihan dan nilai lalai sifar menyerupai pemegang tempat. Hantar kosong dan klien menghantar pengenal berbeza daripada yang disahkan gateway. Jika profil masih gagal, bandingkan nilai lanjutan dengan klien Windows yang berfungsi dan bukan dengan catatan forum untuk tapak lain.

Profil yang sama ditulis untuk strongSwan

strongSwan ialah bekas jangka panjang yang lebih baik untuk nilai-nilai ini, kerana konfigurasinya ialah fail teks yang boleh anda semak dan simpan:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Baca baris cadangan sebelum blok, kerana tanda seru di hujung mengubah maksudnya: ia memaku satu cadangan itu dan membuang alternatif yang sebaliknya akan ditawarkan klien. Gateway yang dikonfigurasi untuk satu pasangan transformasi akan menolak klien yang dibuka dengan senarai, jadi pemakuan itulah yang menjadikan rundingan sebagai padanan. Ambil nama algoritma yang tepat daripada profil gateway yang berfungsi, dan gantikan pemegang tempat dengan nilai anda sendiri.

Dua baris pengesahan itu tidak berlebihan. PSK membuktikan rakan, blok XAuth membuktikan pengguna, dan menggugurkan mana-mana satu meninggalkan fasa yang tidak akan diselesaikan gateway.

Baca kegagalan sebelum menukar medan lain

Bekerja ke belakang daripada gejala dan bukannya merawak dialog semula. IKE SA yang naik tanpa alamat yang diberikan bermaksud pertukaran pengesahan pengguna gagal atau tidak pernah berjalan, jadi semak akaun dan pengendalian token. Fasa 1 yang tidak pernah selesai menunjuk kepada cadangan, pengenal kumpulan atau mod agresif, dan setiap satunya dibandingkan dengan gateway, bukan hanya dengan klien Windows.

Terowong yang terbentuk kemudian mati setiap beberapa minit ialah perselisihan pengesanan rakan mati antara kedua-dua hujung; padankan pemasa gateway dan bukannya mematikan keepalive di merata tempat. Terowong yang terbentuk tetapi hos pejabat kekal tidak dapat dicapai biasanya bermaksud subnet yang ditolak tidak pernah masuk jadual penghalaan tempatan, yang mungkin tidak dilakukan klien pihak ketiga sendiri.

Kembalikan nilai yang berfungsi kepada pemilik gateway apabila anda selesai: protokol, pengenal kumpulan, kunci yang dikongsi terlebih dahulu, cadangan, PFS dan keputusan DPD. Mesin Linux seterusnya kemudian mengambil masa beberapa minit dan bukannya satu malam, dan tiada siapa perlu menemui semula bahawa nama kumpulan itu sifar.