Fortinet Linux-client: controleer de gateway voordat u repareert

De gearchiveerde gids zegt dat u 32-bits bibliotheken moet installeren, een GTK-thema moet patchen en de installer vanuit een terminal moet starten. Een deel van dat advies was juist voor een specifieke clientrelease, en niets ervan brengt een tunnelmodus terug die de gateway niet meer biedt. Voordat u een pakket wijzigt, zoekt u de eerste fase die is mislukt. Dit gaat van de gateway naar binnen, omdat de antwoorden daar goedkoop zijn en een verkeerde lokale reparatie de meeste tijd kost.

Controle 1: benoem de fase die is mislukt

Drie fasen mislukken op verschillende manieren. Het programma start niet, het start en weigert de identiteit van de server, of het verbindt en de gateway heeft geen dienst van het type dat u nodig hebt. Elke fout laat zijn eigen bewijs achter: een loaderfout, een certificaatmelding, een gateway-antwoord dat een niet-beschikbare modus noemt.

Schrijf dat op voordat u iets aanraakt. Alles na dit punt hangt af van welke fase u hebt benoemd, en de drie reparaties hebben niets gemeen.

Controle 2: de release van de gateway en de tunnelmodus

De tunnelmodus is verdwenen op huidige gateways, en de FortiClient 7.4.4-integratietabel voor Linux is waar dat staat: FortiOS 7.6.3 en later bieden de tunnelmodus SSL VPN niet meer aan en verwijzen beheerders naar IPsec. Houd het product, de release en de modus aan die zin vast wanneer u hem herhaalt. Hij zegt niets over elk Fortinet-product, en niets over webtoegangsfuncties die nog bestaan. Algemene versiecompatibiliteit en de beschikbaarheid van één tunnelmodus zijn aparte controles.

Vraag de eigenaar van de gateway twee dingen: welke release de gateway draait, en welke toegangsmethoden vandaag zijn ingeschakeld. Vraag het antwoord schriftelijk, met de releasestring en de instellingenpagina of configuratieregel waar het vandaan komt, want een mondelinge verzekering is wat mensen terugstuurt naar de gearchiveerde gids. Controleer dat antwoord daarna tegen de notities van de gateway of de matrix van de leverancier voor precies die release. Een browser die het webportaal toont, bewijst dat het portaal reageert, en niets meer.

Controle 3: de clienteditie die de eigenaar goedkeurt

Haal de goedgekeurde Linux-clienteditie en -versie op en controleer dan het ondersteunde besturingssysteem, de architectuur, de desktop en de authenticatiestroom. De matrix 7.4.4 is een aan een versie gebonden voorbeeld, geen aanbeveling voor de nieuwste client en geen belofte voor elke afgeleide. Vraag welke client de eigenaar werkelijk zal ondersteunen, want dat antwoord is deel van de migratie en geen nabedachte. Een client die sterft voordat zijn eerste pakket de gateway bereikt, bewijst iets over de laptop, niet over de dienst.

32-bits bibliotheken en een gepatcht thema veranderen wat het binaire bestand kan laden; ze veranderen niet wat de leverancier ondersteunt. Als het besturingssysteem of de authenticatiestroom buiten de matrix valt, is de kwalificatievraag al beantwoord.

Controle 4: vraag het vervangende profiel aan

Als de organisatie is overgestapt van SSL VPN-tunnelmodus naar IPsec, vraag dan het nieuwe profiel en de registratieprocedure in hetzelfde gesprek aan. Hernoem geen SSL-configuratie en ga er niet van uit dat de velden meekomen: een IPsec-profiel noemt een IKE-versie, een externe gateway en zijn identiteit, een authenticatiemethode en de verkeersselectors die elke kant accepteert. Ook account- en apparaatbeleid kan anders worden toegepast. Een hernoeming levert een client op die geconfigureerd lijkt en niets onderhandelt.

Lees het profiel voordat u het vertrouwt. Het hoort de IKE-versie en de voorstellen te vermelden, of authenticatie een certificaat of een vooraf gedeelde sleutel gebruikt, welke lokale en externe subnetten zijn geselecteerd, en wat de gateway als zijn identiteit verwacht. Bevestig dat de goedgekeurde Linux-client die opzet ondersteunt, want een migratiedocument is geen verklaring van functiepariteit voor elke clientrelease. Een onafhankelijke client zoals openfortivpn is geen OpenVPN-interpreter, dus behandel al het andere met SSL in de naam als niet goedgekeurd totdat de eigenaar anders zegt voor deze modus, deze login-stroom en dit apparaatbeleid.

Controle 5: lokale afhankelijkheden, en valideer en leg dan vast

Als de gateway en de client duidelijk zijn, is een startfout een verpakkingsprobleem, en de eigen instructies van het onderhouden pakket zijn de referentie die u moet volgen. Een TLS-identiteitsfout hoort bij de operator: vertrouwensankers en de verwachte naam zijn hun configuratie, niet iets om lokaal te omzeilen. Dat zijn de twee fasen waarin de gearchiveerde gids ooit nuttig was.

Geen van beide wordt opgelost door een onbekend certificaat te accepteren of een postuurcontrole uit te schakelen. Houd de MFA- en apparaatcontroles op hun plaats, want connectiviteit herstellen door ze te verzwakken ruilt een storing voor een incident. Als de modus weg is, brengt geen enkele lokale vlag hem terug.

Bereik na de goedgekeurde wijziging de bedoelde privébron, bevestig de DNS-resolutie en verbind één keer opnieuw. Leg de client, het platform, de release van de gateway en de tunnelmodus samen vast, want de volgende persoon heeft alle vier nodig. Een programma dat met succes opent, is door de lokale startfase gekomen, en niets meer.