FortiGate IPsec på Linux: kva klient som faktisk koplar til

Windows-kollegaen din importerer ein FortiGate-vegvisarprofil og er på nett i løpet av eitt minutt. Du installerer same leverandørpakken på Ubuntu, leitar etter ei IPsec-fane og finn ein klient som berre kan opne ein SSL VPN-portal. Konklusjonen som fylgjer er vanlegvis feil to gonger: gatewayen avviser deg ikkje, og Linux-bygget er ikkje øydelagt. Fortinet leverer den klienten berre med SSL VPN-støtte, så ein mobil IPsec-profil har ingen stad å bu og må byggjast på nytt ein stad som snakkar IKEv1.

Fyrst: avgjer kva protokoll du faktisk fekk

Den ombygginga er mekanisk når du sluttar å handsame leverandørklienten som referanseimplementasjonen.

FortiGate-einingar publiserer både SSL VPN og IPsec, og overleverings-e-posten seier sjeldan kva du fekk. Ein portal-URL pluss ei påloggingsside i nettlesarstil tyder SSL VPN, og på Linux er svaret der openfortivpn, ikkje feltkartlegginga nedanfor. Ein gruppeidentifikator pluss ein førehandsdelt nøkkel tyder mobil IPsec, som er det vpnc og strongSwan handterer.

Å gjere dette feil er den vanlegaste årsaka til at eit Linux-forsøk døyr før fyrste fase er fullført: klienten tilbyr IKEv1 til ein HTTPS-portal eller omvendt. Be administratoren om protokollnamnet skriftleg før du installerer noko.

Fire løyndomar reiser i fire ulike felt

Ordet password førekjem to gonger i dei fleste overleveringar og tyder to ulike ting. Den førehandsdelt nøkkelen autentiserer peer-en sjølv, og det er ein maskinløyndom administratoren les frå gateway-konfigurasjonen. Kontopassordet ditt er ein eigen løyndom som provar kva menneske som står bak den peer-en.

Dei to andre verdiane er lettare å oversjå. Gruppeidentifikatoren er strengen vegvisaren skreiv inn i IPsec-gruppeobjektet, og 0 er ein legitim verdi, ikkje eit tomt felt. Forslaget dekkjer kryptering, hashing og ei Diffie-Hellman-gruppe for kvar fase, pluss PFS-innstillinga, og kvart element i det må stemme med gatewayen. Når ei tilkopling feilar i fase 1, er nesten alltid ein av dei fire skuldnaren, så skriv dei ned kvar for seg i staden for å slenge dei i ein dialog.

Kva kvart vpnc-felt må innehalde

Installer klienten saman med redigeringsfrontenden, og opprett deretter ei VPNC-tilkopling:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Set gatewayen til den offentlege adressa til FortiGate, og gruppenamnet nøyaktig til identifikatoren frå gatewayen, inkludert ein bar null. Group password tek den førehandsdelt nøkkelen, medan brukarnamn og passord tek kontoen din, med eventuelt token lagt til slik gatewayen ventar. I den avanserte dialogen vel du Diffie-Hellman-gruppa forslaget namngir, tilpassar PFS til same gruppe, slår på NAT-gjennomtrenging når klienten står bak ein heimeruter, og lèt deteksjon av død peer gå i takt med gatewayen.

Gruppenamnet er feltet som vert hoppa over, fordi det ser valfritt ut og standardverdien null liknar ein plasshaldar. Send det tomt, og klienten overfører ein annan identifikator enn den gatewayen validerer. Viss profilen framleis feilar, samanlikn dei avanserte verdiane med den fungerande Windows-klienten i staden for med eit foruminnlegg for ein annan nettstad.

Same profil skriven for strongSwan

strongSwan er den betre langsiktige behaldaren for desse verdiane, sidan konfigurasjonen er ei tekstfil du kan gå gjennom og ta vare på:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Les forslagslinjene før blokka, fordi utropsteiknet på slutten endrar tydinga deira: det festar nettopp det eine forslaget og fjernar alternativa klienten elles ville tilby. Ein gateway konfigurert for eitt transformasjonspar vil avvise ein klient som opnar med ei liste, så det er festing som gjer ein forhandling til eit samsvar. Ta dei nøyaktige algoritmenamna frå den fungerande gatewayprofilen, og byt ut plasshaldarane med dine eigne verdiar.

Dei to autentiseringslinjene er ikkje overflødige. PSK-en provar peer-en, XAuth-blokka provar brukaren, og fjernar du ein av dei, står du att med ein fase gatewayen ikkje fullfører.

Les feilen før du endrar endå eit felt

Arbeid baklengs frå symptomet i staden for å randomisere dialogen på nytt. Ein IKE SA som kjem opp utan tildelt adresse tyder at brukarautentiseringa feila eller aldri køyrde, så sjekk kontoen og tokenhandteringa. Ein fase 1 som aldri vert fullført peikar på forslaget, gruppeidentifikatoren eller aggressiv modus, og kvar av dei vert samanlikna med gatewayen, ikkje berre med Windows-klienten.

Ein tunnel som vert etablert og deretter døyr kvart par minutt er ei usemje om deteksjon av død peer mellom dei to endane; tilpass timeren til gatewayen i staden for å slå av keepalives overalt. Ein etablert tunnel der kontorvertar framleis er uoppnåelege tyder vanlegvis at det dytta subnettet aldri hamna i den lokale rutingtabellen, noko ein tredjepartsklient kanskje ikkje gjer sjølv.

Lever dei fungerande verdiane tilbake til eigaren av gatewayen når du er ferdig: protokoll, gruppeidentifikator, førehandsdelt nøkkel, forslag, PFS og DPD-avgjerda. Då tek neste Linux-maskin minutt i staden for ein kveld, og ingen må oppdage på nytt at gruppenamnet var null.