Linux मा FortiGate IPsec: कुन क्लाइन्टले साँच्चै जडान गर्छ

तपाईंको Windows सहकर्मीले FortiGate विजार्ड प्रोफाइल आयात गर्छ र एक मिनेटमै अनलाइन हुन्छ। तपाईं Ubuntu मा त्यही विक्रेता प्याकेज स्थापना गर्नुहुन्छ, IPsec ट्याब खोज्नुहुन्छ, र केवल SSL VPN पोर्टल खोल्न जान्ने क्लाइन्ट भेट्नुहुन्छ। त्यसपछि निकालिने निष्कर्ष सामान्यतया दुईतिरबाट गलत हुन्छ: गेटवेले तपाईंलाई अस्वीकार गरिरहेको छैन, र Linux बिल्ड बिग्रिएको छैन। Fortinet त्यो क्लाइन्ट SSL VPN समर्थनसँग मात्र पठाउँछ, त्यसैले मोबाइल IPsec प्रोफाइल बस्ने ठाउँ छैन र IKEv1 बोलिने ठाउँमा यसलाई फेरि बनाउनुपर्छ।

पहिले तपाईंलाई वास्तवमा कुन प्रोटोकल दिइयो त्यो निर्णय गर्नुहोस्

विक्रेताको क्लाइन्टलाई सन्दर्भ कार्यान्वयन मान्न छोड्ने बित्तिकै त्यो पुनर्निर्माण यान्त्रिक हुन्छ।

FortiGate उपकरणहरूले SSL VPN र IPsec दुवै प्रकाशित गर्छन्, र हस्तान्तरण इमेलले कुन दिइयो भनेर विरलै भन्छ। पोर्टल URL सँग ब्राउजर-शैलीको लगइन पृष्ठ भयो भने SSL VPN, र Linux मा त्यहाँको उत्तर openfortivpn हो, तलको फिल्ड म्यापिङ होइन। समूह पहिचानकर्ता सँग पूर्व-साझा कुञ्जी भयो भने मोबाइल IPsec, जसलाई vpnc र strongSwan सम्हाल्छन्।

यसमा गल्ती गर्नु Linux प्रयास पहिलो चरण पूरा हुनुअघि मर्ने सबैभन्दा सामान्य कारण हो: क्लाइन्टले HTTPS पोर्टललाई IKEv1 दिइरहेको छ वा उल्टो. केही स्थापना गर्नुअघि प्रशासकसँग प्रोटोकलको नाम लिखित रूपमा माग्नुहोस्।

चार क्रेडेन्सियल चार फरक फिल्डमा यात्रा गर्छन्

password शब्द धेरैजसो हस्तान्तरणमा दुई पटक आउँछ र दुई फरक कुरा जनाउँछ। पूर्व-साझा कुञ्जीले पीयरलाई नै प्रमाणित गर्छ, र त्यो मेसिन गोप्य हो जो प्रशासकले गेटवे कन्फिगरेसनबाट पढ्छ। तपाईंको खाता पासवर्ड त्यो पीयरको पछाडि कुन मानिस छ भनी प्रमाणित गर्ने छुट्टै क्रेडेन्सियल हो।

बाँकी दुई मान छुट्न सजिलो छ। समूह पहिचानकर्ता विजार्डले IPsec समूह वस्तुमा लेखेको स्ट्रिङ हो, र 0 खाली फिल्ड होइन, वैध मान हो। प्रस्तावले प्रत्येक चरणका लागि इन्क्रिप्शन, ह्यासिङ र Diffie-Hellman समूह, साथै PFS सेटिङ समेट्छ, र त्यसको हरेक वस्तु गेटवेसँग मिल्नुपर्छ। जब जडान 1 नम्बर चरणमा असफल हुन्छ, लगभग सधैं ती चारमध्ये एक दोषी हुन्छ, त्यसैले तिनलाई एउटै संवादमा नहाली अलग लेख्नुहोस्।

प्रत्येक vpnc फिल्डमा के हुनुपर्छ

क्लाइन्ट सम्पादक अन्तरमुखसँगै स्थापना गर्नुहोस्, त्यसपछि VPNC जडान बनाउनुहोस्:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

गेटवेमा FortiGate को सार्वजनिक ठेगाना राख्नुहोस्, र समूहको नाम गेटवेको पहिचानकर्तामा ठ्याक्कै, नाङ्गो शून्यसमेत राख्नुहोस्। Group password ले पूर्व-साझा कुञ्जी लिन्छ, जबकि प्रयोगकर्ता नाम र पासवर्डले तपाईंको खाता लिन्छ, कुनै पनि टोकन गेटवेले अपेक्षा गरेअनुसार थपेर। उन्नत संवादमा, प्रस्तावले नाम दिएको Diffie-Hellman समूह छान्नुहोस्, PFS त्यही समूहसँग मिलाउनुहोस्, क्लाइन्ट घरायसी राउटरपछि हुँदा NAT ट्राभर्सल सक्षम गर्नुहोस्, र डेड पीयर पत्ता लगाउने काम गेटवेसँगै एउटै पाइलामा राख्नुहोस्।

समूहको नाम त्यो फिल्ड हो जुन छोडिन्छ, किनकि यो वैकल्पिक देखिन्छ र पूर्वनिर्धारित शून्य प्लेसहोल्डरजस्तो लाग्छ। यसलाई खाली पठाउनुभयो भने क्लाइन्टले गेटवेले प्रमाणित गर्ने पहिचानकर्ताभन्दा फरक पहिचानकर्ता पठाउँछ। प्रोफाइल अझै असफल भयो भने उन्नत मानहरू अर्को साइटको फोरम पोस्टसँग होइन, चलिरहेको Windows क्लाइन्टसँग तुलना गर्नुहोस्।

त्यही प्रोफाइल strongSwan का लागि लेखिएको

यी मानहरूका लागि strongSwan राम्रो दीर्घकालीन भाँडो हो, किनकि कन्फिगरेसन एउटा पाठ फाइल हो जसलाई तपाईं समीक्षा गरेर राख्न सक्नुहुन्छ:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

ब्लकअघि प्रस्तावका लाइनहरू पढ्नुहोस्, किनकि अन्तको विस्मयादिबोधक चिन्हले तिनको अर्थ बदल्छ: यसले त्यही एउटा प्रस्ताव पिन गर्छ र क्लाइन्टले अन्यथा दिने विकल्पहरू हटाउँछ। एउटै रूपान्तरण जोडीका लागि कन्फिगर गरिएको गेटवेले सूचीसँग खुल्ने क्लाइन्टलाई अस्वीकार गर्छ, त्यसैले पिनिङले नै वार्तालापलाई मिलानमा बदल्छ. चलिरहेको गेटवे प्रोफाइलबाट एल्गोरिदमका ठ्याक्कै नाम लिनुहोस्, र प्लेसहोल्डरहरू आफ्नै मानले बदल्नुहोस्।

दुई प्रमाणीकरण लाइन अनावश्यक होइनन्। PSK ले पीयर प्रमाणित गर्छ, XAuth ब्लकले प्रयोगकर्ता, र जुनसुकै छोड्दा गेटवेले पूरा नगर्ने चरण बाँकी रहन्छ।

अर्को फिल्ड बदल्नुअघि असफलता पढ्नुहोस्

संवाद फेरि यादृच्छिक बनाउनुको सट्टा लक्षणबाट पछाडि जानुहोस्। वितरण गरिएको ठेगानाविना माथि आउने IKE SA भनेको प्रयोगकर्ता प्रमाणीकरणको आदानप्रदान असफल भयो वा कहिल्यै चलेन, त्यसैले खाता र टोकन ह्यान्डलिङ जाँच्नुहोस्। कहिल्यै नसकिने 1 नम्बर चरणले प्रस्ताव, समूह पहिचानकर्ता वा आक्रामक मोडतिर संकेत गर्छ, र तीमध्ये हरेकको तुलना Windows क्लाइन्टसँग मात्र होइन, गेटवेसँग हुन्छ।

स्थापित भएपछि हरेक केही मिनेटमा मर्ने टनेल दुई छेउबीच डेड पीयर पत्ता लगाउने असहमति हो; सबैतिर keepalive बन्द गर्नुको सट्टा गेटवेको टाइमरसँग मिलाउनुहोस्। स्थापित टनेलमा कार्यालयका होस्टहरू पुग्न नसक्ने भइरहे भने सामान्यतया धकेलिएको सबनेट कहिल्यै स्थानीय राउटिङ तालिकामा परेन भन्ने हुन्छ, जुन तेस्रो पक्षको क्लाइन्टले आफैं नगर्न सक्छ।

सकिएपछि काम गर्ने मानहरू गेटवे मालिकलाई फर्काउनुहोस्: प्रोटोकल, समूह पहिचानकर्ता, पूर्व-साझा कुञ्जी, प्रस्ताव, PFS र DPD निर्णय। तब अर्को Linux मेसिनले सारा साँझको सट्टा केही मिनेट लिन्छ, र समूहको नाम शून्य थियो भनेर कसैले फेरि पत्ता लगाउनु पर्दैन।