Fortinet Linux-klient: kontroller gatewayen før du reparerer

Den arkiverte guiden sier at du skal installere 32-bits biblioteker, patche et GTK-tema og kjøre installasjonsprogrammet fra en terminal. Noe av dette rådet var riktig for en bestemt klientutgivelse, og ingenting av det kan bringe tilbake en tunnelmodus som gatewayen ikke lenger tilbyr. Før du endrer en pakke, finn det første trinnet som feilet. Dette går fra gatewayen og innover, fordi svarene er billige der, og en feil lokal rettelse koster mest tid.

Kontroll 1: navngi trinnet som feilet

Tre trinn feiler på ulike måter. Programmet starter ikke, det starter og avviser serverens identitet, eller det kobler til og gatewayen har ingen tjeneste av den typen du trenger. Hver feil etterlater sitt eget bevis: en lasterfeil, en sertifikatmelding, et gatewaysvar som nevner en utilgjengelig modus.

Skriv det ned før du rører noe. Alt etter dette punktet avhenger av hvilket trinn du navnga, og de tre rettelsene har ingenting til felles.

Kontroll 2: gatewayens utgivelse og tunnelmodusen

Tunnelmodusen er borte på dagens gatewayer, og FortiClient 7.4.4-integreringstabellen for Linux er der det står skrevet: FortiOS 7.6.3 og nyere tilbyr ikke lenger tunnelmodusen SSL VPN og sender administratorer til IPsec. Hold produktet, utgivelsen og modusen knyttet til den setningen når du gjentar den. Den sier ingenting om alle Fortinet-produkter, og ingenting om webtilgangsfunksjoner som fortsatt finnes. Generell versjonskompatibilitet og tilgjengeligheten av én tunnelmodus er separate kontroller.

Spør gatewayens eier om to ting: hvilken utgivelse gatewayen kjører, og hvilke tilgangsmetoder som er aktivert i dag. Be om svaret skriftlig, med utgivelsesstrengen og innstillingssiden eller konfigurasjonslinjen det kommer fra, fordi det er en muntlig forsikring som sender folk tilbake til den arkiverte guiden. Kontroller deretter svaret mot gatewayens notater eller leverandørens matrise for nøyaktig den utgivelsen. En nettleser som viser webportalen, beviser at portalen svarer, og ikke noe mer.

Kontroll 3: klientutgaven som eieren godkjenner

Skaff den godkjente Linux-klientutgaven og -versjonen, og kontroller deretter det støttede operativsystemet, arkitekturen, skrivebordet og autentiseringsflyten. 7.4.4-matrisen er et versjonsbundet eksempel, ikke en anbefaling for den nyeste klienten og ikke et løfte for hver avledning. Spør hvilken klient eieren faktisk vil støtte, fordi det svaret er en del av migreringen og ikke en ettertanke. En klient som dør før dens første pakke når gatewayen, beviser noe om den bærbare datamaskinen, ikke om tjenesten.

32-bits biblioteker og et patchet tema endrer hva binæren kan laste; de endrer ikke hva leverandøren støtter. Hvis operativsystemet eller autentiseringsflyten ligger utenfor matrisen, er kvalifikasjonsspørsmålet allerede besvart.

Kontroll 4: be om erstatningsprofilen

Hvis organisasjonen har flyttet fra SSL VPN-tunnelmodus til IPsec, be om den nye profilen og registreringsprosedyren i samme samtale. Ikke gi en SSL-konfigurasjon nytt navn og anta at feltene følger med: en IPsec-profil angir en IKE-versjon, en ekstern gateway og dens identitet, en autentiseringsmetode og de trafikkvelgerne hver side godtar. Konto- og enhetspolicy kan også håndheves annerledes. En navnendring gir en klient som ser konfigurert ut og ikke forhandler noe.

Les profilen før du stoler på den. Den skal oppgi IKE-versjonen og forslagene, om autentisering bruker et sertifikat eller en forhåndsdelt nøkkel, hvilke lokale og eksterne subnett som er valgt, og hva gatewayen forventer som sin identitet. Bekreft at den godkjente Linux-klienten støtter den ordningen, fordi et migreringsdokument ikke er en erklæring om funksjonslikhet for hver klientutgivelse. En uavhengig klient som openfortivpn er ikke en OpenVPN-tolk, så behandle alt annet med SSL i navnet som ikke godkjent til eieren sier noe annet for denne modusen, denne innloggingsflyten og denne enhetspolicyen.

Kontroll 5: lokale avhengigheter, og deretter valider og registrer

Når gatewayen og klienten er avklart, er en startfeil et pakkeproblem, og den vedlikeholdte pakkens egne instruksjoner er referansen som skal følges. En TLS-identitetsfeil tilhører operatøren: tillitsankrene og det forventede navnet er deres konfigurasjon, ikke noe som omgås lokalt. Det er de to trinnene der den arkiverte guiden noen gang var nyttig.

Ingen av dem løses ved å godta et ukjent sertifikat eller slå av en tilstandskontroll. Behold MFA- og enhetskontrollene på plass, fordi å gjenopprette tilkoblingen ved å svekke dem bytter et avbrudd mot en hendelse. Hvis modusen er borte, bringer ingen lokal flagg den tilbake.

Etter den godkjente endringen, nå den tiltenkte private ressursen, bekreft DNS-oppslag og koble til på nytt én gang. Registrer klienten, plattformen, gatewayens utgivelse og tunnelmodusen sammen, fordi neste person trenger alle fire. Et program som åpnes med suksess, har bestått det lokale starttrinnet, og ingenting annet.