Fortinet Linux-klient: kontroller gatewayen før du reparerer

Den arkiverte rettleiaren seier at du skal installere 32-bits bibliotek, patche eit GTK-tema og køyre installasjonsprogrammet frå ein terminal. Noko av dette rådet var riktig for ei bestemd klientutgiving, og ingenting av det kan få tilbake ein tunnelmodus som gatewayen ikkje lenger tilbyr. Før du endrar ein pakke, finn det første trinnet som feila. Dette går frå gatewayen og innover, fordi svara er billege der, og ein feil lokal retting kostar mest tid.

Kontroll 1: nemn trinnet som feila

Tre trinn feilar på ulike måtar. Programmet startar ikkje, det startar og avviser identiteten til serveren, eller det koplar til og gatewayen har inga teneste av den typen du treng. Kvar feil lèt att sitt eige prov: ein lastarfeil, ei sertifikatmelding, eit gatewaysvar som nemner ein utilgjengeleg modus.

Skriv det ned før du rører noko. Alt etter dette punktet avheng av kva trinn du nemnde, og dei tre rettingane har ingenting til felles.

Kontroll 2: utgivinga til gatewayen og tunnelmodusen

Tunnelmodusen er borte på dagens gatewayar, og FortiClient 7.4.4-integreringstabellen for Linux er der det står skrive: FortiOS 7.6.3 og nyare tilbyr ikkje lenger tunnelmodusen SSL VPN og sender administratorar til IPsec. Hald produktet, utgivinga og modusen knytte til den setninga når du gjer ho om att. Ho seier ingenting om alle Fortinet-produkt, og ingenting om webtilgangsfunksjonar som framleis finst. Generell versjonskompatibilitet og tilgjenge på éin tunnelmodus er separate kontrollar.

Spør eigaren av gatewayen om to ting: kva utgiving gatewayen køyrer, og kva tilgangsmetodar som er aktiverte i dag. Be om svaret skriftleg, med utgivingsstrengen og innstillingssida eller konfigurasjonslinja det kjem frå, fordi det er ei munnleg forsikring som sender folk tilbake til den arkiverte rettleiaren. Kontroller deretter svaret mot notata til gatewayen eller matrisa til leverandøren for nøyaktig den utgivinga. Ein nettlesar som viser webportalen, bevisar at portalen svarar, og ikkje noko meir.

Kontroll 3: klientutgivinga som eigaren godkjenner

Skaff den godkjende Linux-klientutgivinga og -versjonen, og kontroller deretter det støtta operativsystemet, arkitekturen, skrivebordet og autentiseringsflyten. 7.4.4-matrisa er eit versjonsbunde døme, ikkje ei tilråding for den nyaste klienten og ikkje eit løfte for kvar avleiing. Spør kva klient eigaren faktisk vil støtte, fordi det svaret er ein del av migreringa og ikkje ein ettertanke. Ein klient som døyr før den første pakken hans når gatewayen, bevisar noko om den berbare datamaskina, ikkje om tenesta.

32-bits bibliotek og eit patcha tema endrar kva binærfila kan laste; dei endrar ikkje kva leverandøren støttar. Viss operativsystemet eller autentiseringsflyten ligg utanfor matrisa, er kvalifikasjonsspørsmålet allereie svara.

Kontroll 4: be om erstatningsprofilen

Viss organisasjonen har flytta frå SSL VPN-tunnelmodus til IPsec, be om den nye profilen og registreringsprosedyren i same samtale. Ikkje gje ei SSL-konfigurasjon nytt namn og gå ut frå at felta følgjer med: ein IPsec-profil nemner ein IKE-versjon, ein ekstern gateway og identiteten hans, ein autentiseringsmetode og dei trafikkveljarane kvar side godtek. Konto- og einingpolitikk kan òg bli handheva annleis. Ei namneendring gir ein klient som ser konfigurert ut og ikkje forhandlar noko.

Les profilen før du stolar på han. Han skal oppgje IKE-versjonen og framlegga, om autentisering brukar eit sertifikat eller ein førehandsdelt nøkkel, kva lokale og eksterne subnett som er valde, og kva gatewayen ventar som identiteten sin. Stadfest at den godkjende Linux-klienten støttar den ordninga, fordi eit migreringsdokument ikkje er ei fråsegn om funksjonslikskap for kvar klientutgiving. Ein sjølvstendig klient som openfortivpn er ikkje ein OpenVPN-tolk, så handsam alt anna med SSL i namnet som ikkje godkjent til eigaren seier noko anna for denne modusen, denne innloggingsflyten og denne einingpolitikken.

Kontroll 5: lokale avhengnader, og deretter valider og registrer

Når gatewayen og klienten er avklara, er ein startfeil eit pakkeproblem, og dei eigne instruksjonane til den vedlikehaldne pakken er referansen som skal følgjast. Ein TLS-identitetsfeil høyrer til operatøren: tillitsankar og det venta namnet er konfigurasjonen deira, ikkje noko som blir omgått lokalt. Det er dei to trinna der den arkiverte rettleiaren nokon gong var nyttig.

Ingen av dei blir løyste ved å godta eit ukjent sertifikat eller slå av ein tilstandskontroll. Hald MFA- og einingkontrollane på plass, fordi å få tilbake tilkoplinga ved å svekkje dei byter eit avbrot mot ei hending. Viss modusen er borte, bringar ingen lokal flagg han tilbake.

Etter den godkjende endringa, nå den tiltenkte private ressursen, stadfest DNS-oppslag og kople til på nytt éin gong. Registrer klienten, plattforma, utgivinga til gatewayen og tunnelmodusen saman, fordi neste person treng alle fire. Eit program som opnar med suksess, har bestått det lokale starttrinnet, og ingenting anna.