Een ARM-build is geen FortiClient-ondersteuning voor je Raspberry Pi

Een VPN-client op een Raspberry Pi draaien is niet hetzelfde als FortiClient die erop ondersteund wordt. Drie beweringen lopen in dit gesprek door elkaar: de leverancier kwalificeert een platform, iemand bouwt een binair bestand voor de processor, en de gateway staat het protocol en de inschrijving van die client toe. Eén van de drie vinden zegt niets over de andere twee. Werk ze in deze volgorde af en stop waar er één faalt, want dat is degene die je moet oplossen.

Stap één: lees de release-opmerkingenrij voor jouw exacte pakket

Ondersteuningsverklaringen zijn versiegebonden, dus begin met de release-opmerkingen van het pakket dat jouw organisatie goedkeurt. Als concreet voorbeeld: de tabel van FortiClient Standalone 7.4.7 vermeldt Ubuntu 22.04 en 24.04, Red Hat 9 en CentOS Stream 9 met GNOME. De Linux-processoreis is geformuleerd als Intel of gelijkwaardig.

Raspberry Pi OS is geen van die vermelde Linux-omgevingen. Dat is geen oordeel over elke FortiClient-editie en geen voorspelling over latere releases; het is een uitspraak over die rij in dat document. Lees de matrix voor de versie die je echt wilt uitrollen.

Neem geen processornotities uit de Windows- of macOS-rijen over in de Linux-rij. Leveranciers documenteren platforms per editie en per release, en een notitie die voor de ene rij geldt is geen bewijs voor een andere.

Stap twee: bevestig wat de Pi draait

Drie opdrachten beslechten de lokale feiten vóór elke download:

uname -m
cat /etc/os-release
dpkg --print-architecture

De eerste noemt de kernelarchitectuur, de tweede de distributie en release, en de derde de gebruikersruimte-architectuur waarvoor pakketten worden gebouwd. Een 64-bits kernel met een 32-bits gebruikersruimte is mogelijk, en dat verandert welk pakket je nodig hebt.

Controleer daarna wat er echt beschikbaar is voor dat platform. De gepubliceerde pakkettentabel van Debian trixie bevat arm64- en armhf-builds van openfortivpn. Dat stelt de beschikbaarheid van de architectuur in die distributie vast. Het stelt niet vast dat Fortinet FortiClient kwalificeert op een afgeleide distributie, en het stelt niet vast dat de gateway van jouw organisatie de client accepteert.

Gebruik ondersteunde pakketten en actuele releasedocumentatie in plaats van een gecacht pakket uit een oude release of een mislukt buildverslag uit een forumdraadje. Bestaat er een grafische frontend, kwalificeer die dan apart: een werkende commandoregel-build bewijst niet dat de editor, de geheimenopslag en het toezicht op een desktop-wrapper worden onderhouden.

Stap drie: controleer de gateway voordat je de client de schuld geeft

Upstream beschrijft openfortivpn als een PPP-en-TLS-client die pppd start. Dat is een specifieke implementatie, en die vereist dat de gateway een compatibele modus biedt. Een servermerknaam is geen protocolafspraak.

Verzamel de release van de gateway en de ingeschakelde toegangsmethode, de goedgekeurde hostnaam en het bijbehorende vertrouwensmateriaal, en de identiteitsworkflow die de dienst vereist, inclusief een tweede factor en een apparaatpostuurcontrole. Een beheerde uitrol kan inschrijvingsstappen vereisen die een client van derden niet kan uitvoeren.

Probeer de verbinding met het account dat je is uitgegeven, niet dat van een beheerder, want inschrijving en beleid hangen meestal aan de gebruiker:

sudo openfortivpn vpn.example.com:443 -u <username>

Lees de fout, niet alleen de exitcode. Een certificaatfout, een PPP-time-out en een beleidsafwijzing zijn drie verschillende problemen, en slechts één ervan gaat over ARM.

Stap vier: accepteer het op het apparaat, binnen de overeenkomst

Accepteer de opzet met een echte privéresource, DNS-resolutie via de tunnel en een herverbinding na een netwerkonderbreking. Bevestig daarna dat een bestemming die onbereikbaar moet blijven nog steeds faalt, want bereikbaarheid alleen bewijst niet dat het beleid klopt.

Noteer vier feiten samen: de OS-release, de gebruikersruimte-architectuur, de versie van het clientpakket en de modus van de gateway. Zonder alle vier kan de volgende persoon niet zeggen of de opzet ondersteund is of alleen werkt.

Als de werkgever een beheerde FortiClient-omgeving eist die de Pi niet kan leveren, vraag dan een goedgekeurd eindpunt of een goedgekeurde toegangshost aan. Schakel peer-validatie niet uit, imiteer geen postuurcontroles en vervang de gateway van de organisatie niet om één machine tegemoet te komen. De conclusie die opgeschreven moet worden is welke ondersteunde combinatie is toegestaan, niet dat closed-source software nooit op ARM kan richten.