Klien Fortinet Linux: periksa gateway sebelum membaiki

Panduan yang diarkibkan menyuruh memasang pustaka 32-bit, menampal tema GTK dan menjalankan pemasang dari terminal. Sebahagian nasihat itu betul untuk keluaran klien tertentu, dan tiada satu pun daripadanya dapat mengembalikan mod terowong yang gateway tidak lagi tawarkan. Sebelum menukar pakej, cari peringkat pertama yang gagal. Ini bergerak dari gateway ke dalam, kerana di situlah jawapannya murah dan pembaikan setempat yang salah paling banyak makan masa.

Pemeriksaan 1: namakan peringkat yang gagal

Tiga peringkat gagal dengan cara berbeza. Program tidak bermula, ia bermula dan menolak identiti pelayan, atau ia bersambung dan gateway tiada perkhidmatan jenis yang anda perlukan. Setiap kegagalan meninggalkan buktinya sendiri: ralat pemuat, mesej sijil, balasan gateway yang menamakan mod yang tidak tersedia.

Tuliskan itu sebelum anda menyentuh apa-apa. Semua selepas titik ini bergantung pada peringkat mana yang anda namakan, dan tiga pembaikan itu tiada persamaan.

Pemeriksaan 2: keluaran gateway dan mod terowong

Mod terowong sudah tiada pada gateway semasa, dan jadual integrasi FortiClient 7.4.4 untuk Linux ialah tempat ia ditulis: FortiOS 7.6.3 dan lebih baharu tidak lagi menawarkan mod terowong SSL VPN dan mengarahkan pentadbir kepada IPsec. Kekalkan produk, keluaran dan mod terikat pada ayat itu apabila anda mengulanginya. Ia tidak menyebut apa-apa tentang setiap produk Fortinet, dan tidak menyebut apa-apa tentang ciri akses web yang masih wujud. Keserasian versi secara umum dan ketersediaan satu mod terowong ialah pemeriksaan berasingan.

Tanya pemilik gateway dua perkara: keluaran mana yang dijalankan oleh gateway, dan kaedah akses mana yang diaktifkan hari ini. Minta jawapannya secara bertulis, dengan rentetan keluaran dan halaman tetapan atau baris konfigurasi asalnya, kerana jaminan lisan itulah yang menghantar orang kembali kepada panduan yang diarkibkan. Kemudian periksa jawapan itu dengan nota gateway atau matriks vendor untuk keluaran yang tepat itu. Pelayar yang memaparkan portal web membuktikan portal itu bertindak balas, tidak lebih.

Pemeriksaan 3: edisi klien yang diluluskan pemilik

Dapatkan edisi dan versi klien Linux yang diluluskan, kemudian periksa sistem pengendalian, seni bina, desktop dan aliran pengesahan yang disokongnya. Matriks 7.4.4 ialah contoh terikat versi, bukan cadangan untuk klien terbaharu dan bukan janji untuk setiap terbitan. Tanya klien mana yang benar-benar akan disokong pemilik, kerana jawapan itu sebahagian daripada migrasi dan bukan renungan kemudian. Klien yang mati sebelum paket pertamanya sampai ke gateway membuktikan sesuatu tentang komputer riba, bukan tentang perkhidmatan.

Pustaka 32-bit dan tema yang ditampal mengubah apa yang boleh dimuatkan oleh binari; ia tidak mengubah apa yang disokong vendor. Jika sistem pengendalian atau aliran pengesahan berada di luar matriks, soalan kelayakan sudah terjawab.

Pemeriksaan 4: minta profil pengganti

Jika organisasi berpindah daripada mod terowong SSL VPN kepada IPsec, minta profil baharu dan prosedur pendaftaran dalam perbualan yang sama. Jangan menukar nama konfigurasi SSL dan menganggap medannya ikut berpindah: profil IPsec menamakan versi IKE, gateway jauh dan identitinya, kaedah pengesahan, dan pemilih trafik yang diterima oleh setiap pihak. Dasar akaun dan peranti juga mungkin dikuatkuasakan secara berbeza. Penukaran nama menghasilkan klien yang kelihatan dikonfigurasi dan tidak merundingkan apa-apa.

Baca profil itu sebelum anda mempercayainya. Ia harus menyatakan versi IKE dan cadangannya, sama ada pengesahan menggunakan sijil atau kunci yang dikongsi terlebih dahulu, subrangkaian setempat dan jauh mana yang dipilih, dan apa yang dijangka oleh gateway sebagai identitinya. Sahkan bahawa klien Linux yang diluluskan menyokong susunan itu, kerana dokumen migrasi bukan pernyataan kesetaraan ciri untuk setiap keluaran klien. Klien bebas seperti openfortivpn bukan penterjemah OpenVPN, jadi anggap apa-apa sahaja yang ber-SSL dalam namanya sebagai tidak diluluskan sehingga pemilik menyatakan sebaliknya untuk mod ini, aliran log masuk ini dan dasar peranti ini.

Pemeriksaan 5: kebergantungan setempat, kemudian sahkan dan catat

Setelah gateway dan klien diselesaikan, kegagalan pelancaran ialah masalah pembungkusan, dan arahan pakej yang diselenggara itu sendiri ialah rujukan yang perlu diikuti. Kegagalan identiti TLS milik pengendali: sauh kepercayaan dan nama yang dijangka ialah konfigurasi mereka, bukan sesuatu yang dielakkan secara setempat. Itulah dua peringkat tempat panduan yang diarkibkan pernah berguna.

Kedua-duanya tidak diselesaikan dengan menerima sijil tidak dikenali atau mematikan pemeriksaan postur. Kekalkan pemeriksaan MFA dan peranti, kerana memulihkan sambungan dengan melemahkannya menukar gangguan dengan insiden. Jika mod itu sudah tiada, tiada bendera setempat yang mengembalikannya.

Selepas perubahan yang diluluskan, capai sumber peribadi yang dimaksudkan, sahkan penyelesaian DNS dan sambung semula sekali. Catat klien, platform, keluaran gateway dan mod terowong bersama-sama, kerana orang seterusnya memerlukan keempat-empatnya. Program yang terbuka dengan jayanya telah melepasi peringkat pelancaran setempat, dan tidak lebih.