FortiGate IPsec fuq Linux: liema klijent verament jikkonnettja

Il-kollega tiegħek fuq Windows jimporta profil tal-wizard FortiGate u jkun online f'minuta. Int tinstalla l-istess pakkett tal-fornitur fuq Ubuntu, tfittex tab IPsec, u ssib klijent li jaf biss jiftaħ SSL VPN portal. Il-konklużjoni li ssegwi ġeneralment tkun żbaljata darbtejn: il-gateway mhux qed jirrifjutak, u l-build ta' Linux mhuwiex miksur. Fortinet tforni dak il-klijent b'appoġġ SSL VPN biss, għalhekk profil IPsec mobbli m'għandux fejn jgħix u jrid jinbena mill-ġdid f'xi post li jitkellem IKEv1.

L-ewwel, iddeċiedi liema protokoll fil-fatt ingħatajtek

Dik il-bini mill-ġdid hija mekkanika ladarba tieqaf tqis il-klijent tal-fornitur bħala l-implimentazzjoni ta' referenza.

L-apparati FortiGate jippubblikaw kemm SSL VPN kif ukoll IPsec, u l-email tal-konsenja rari tgħid liema ngħatajt. URL tal-portal flimkien ma' paġna tal-login bl-istil tal-browser tfisser SSL VPN, u fuq Linux it-tweġiba hemmhekk hija openfortivpn, mhux il-mapping tal-oqsma hawn taħt. Identifikatur tal-grupp flimkien ma' ċavetta kondiviża minn qabel tfisser IPsec mobbli, li vpnc u strongSwan jimmaniġġjaw.

Li tagħmel ħażin dan hija l-aktar raġuni komuni li attentat fuq Linux imut qabel ma titlesta l-ewwel fażi: il-klijent qed joffri IKEv1 lil portal HTTPS jew bil-maqlub. Itlob l-isem tal-protokoll bil-miktub mingħand l-amministratur qabel tinstalla xi ħaġa.

Erba' kredenzjali jivvjaġġaw f'erba' oqsma differenti

Il-kelma password tidher darbtejn f'ħafna konsenji u tfisser żewġ affarijiet differenti. Iċ-ċavetta kondiviża minn qabel tawtentika l-peer innifsu, u hija sigriet tal-magna li l-amministratur jaqra mill-konfigurazzjoni tal-gateway. Il-password tal-kont tiegħek hija kredenzjali separata li turi liema bniedem hemm wara dak il-peer.

Iż-żewġ valuri l-oħra huma eħfef li jinqabżu. L-identifikatur tal-grupp huwa l-string li l-wizard kiteb fl-oġġett tal-grupp IPsec, u 0 huwa valur leġittimu mhux qasam vojt. Il-proposta tkopri encryption, hashing u grupp Diffie-Hellman għal kull fażi, flimkien mas-setting PFS, u kull punt fiha jrid jaqbel mal-gateway. Meta konnessjoni tfalli fil-fażi 1, kważi dejjem wieħed minn dawk l-erbgħa huwa l-ħati, għalhekk iktebhom separatament minflok ma tarmihom f'djalogu wieħed.

X'irid ikun fih kull qasam ta' vpnc

Installa l-klijent flimkien mal-front-end tal-editur, imbagħad oħloq konnessjoni VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Issettja l-gateway għall-indirizz pubbliku tal-FortiGate, u ssettja l-isem tal-grupp eżattament għall-identifikatur mill-gateway, inkluż żero mikxuf. Group password jieħu ċ-ċavetta kondiviża minn qabel, filwaqt li l-isem tal-utent u l-password jieħdu l-kont tiegħek, b'xi token miżjud kif jistenna l-gateway. Fid-djalogu avvanzat, agħżel il-grupp Diffie-Hellman li ssemmi l-proposta, qabbel PFS mal-istess grupp, ippermetti t-traversata NAT meta l-klijent ikun wara router tad-dar, u ħalli s-sejbien tal-peer mejjet fl-istess pass mal-gateway.

L-isem tal-grupp huwa l-qasam li jiġi skartat, għax jidher fakultattiv u l-żero default jixbah lil placeholder. Ibgħatu vojt u l-klijent jittrasmetti identifikatur differenti minn dak li jivvalida l-gateway. Jekk il-profil xorta jfalli, qabbel il-valuri avvanzati mal-klijent Windows li jaħdem u mhux ma' post fil-forum għal sit ieħor.

L-istess profil miktub għal strongSwan

strongSwan huwa l-aħjar kontenitur fit-tul għal dawn il-valuri, peress li l-konfigurazzjoni hija fajl tat-test li tista' tirrevedi u żżomm:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Aqra l-linji tal-proposta qabel il-blokk, għax il-point exclamation fl-aħħar jibdel it-tifsira tagħhom: jiffissa dik il-proposta waħda u jneħħi l-alternattivi li l-klijent inkella joffri. Gateway ikkonfigurat għal par transformazzjoni wieħed jirrifjuta klijent li jiftaħ b'lista, għalhekk l-iffissar huwa dak li jbiddel negozjar f'qbil. Ħu l-ismijiet eżatti tal-algoritmi mill-profil tal-gateway li jaħdem, u ibdel il-placeholders bil-valuri tiegħek.

Iż-żewġ linji tal-awtentikazzjoni mhumiex żejda. Il-PSK tipprova l-peer, il-blokk XAuth jipprova l-utent, u t-tneħħija ta' waħda minnhom tħalli fażi li l-gateway mhux se jtemm.

Aqra l-falliment qabel tibdel qasam ieħor

Aħdem lura mis-sintomu minflok terġa' tagħmel id-djalogu bl-addoċċ. IKE SA li jiġi 'l fuq mingħajr indirizz assenjat ifisser li l-iskambju tal-awtentikazzjoni tal-utent falla jew qatt ma ġera, għalhekk iċċekkja l-kont u l-immaniġġjar tat-token. Fażi 1 li qatt ma titlesta tindika l-proposta, l-identifikatur tal-grupp jew il-modalità aggressiva, u kull wieħed minnhom jiġi mqabbel mal-gateway, mhux biss mal-klijent Windows.

Tunnel li jiġi stabbilit u mbagħad imut kull ftit minuti huwa nuqqas ta' qbil dwar is-sejbien tal-peer mejjet bejn iż-żewġt itruf; qabbel it-timer tal-gateway minflok ma tiddiżattiva l-keepalives kullimkien. Tunnel stabbilit fejn l-hosts tal-uffiċċju jibqgħu ma jintlaħqux normalment ifisser li s-subnet imbuttat qatt ma wasal fit-tabella tar-routing lokali, li klijent ta' partijiet terzi jista' ma jagħmilx waħdu.

Erġa' għadda l-valuri li jaħdmu lill-proprjetarju tal-gateway meta tispiċċa: protokoll, identifikatur tal-grupp, ċavetta kondiviża minn qabel, proposta, PFS u d-deċiżjoni DPD. Imbagħad il-magna Linux li jmiss tieħu minuti minflok lejla, u ħadd ma jrid jerġa' jiskopri li l-isem tal-grupp kien żero.