Tilpass Linux VPN-klienten til protokollen til den gamle eininga

Fire protokollfamiliar dekkjer nesten kvar eining som framleis står i eit rack, og kvar av dei feilar ulikt på Linux. Dei publiserte portane og dei konfigurerte framlegga til den andre enden avgjer pakken din, ikkje distribusjonen du tilfeldigvis køyrer. Å installere det eit foruminnlegg nemner og deretter redigere til noko koplar seg til, er måten ein ettermiddag forsvinn på. Les eininga, installer som nummer to, verifiser som nummer tre.

Skriv ned kva den andre enden publiserer

Skriv ned protokollen, portane og autentiseringa eininga ventar før du opnar ein pakkehandsamar. Fire familiar dekkjer mesteparten av gammalt utstyr, og tabellen nedanfor er heile avgjerda på éin skjerm.

Handboka og eininga sine eigne brannmurreglar er meir pålitelege enn protokollnamnet på påloggingssida. Ei eining som annonserer IPsec, snakkar kanskje berre IKEv1, og ein fastvareversjon ingen har brukt kan vere det som til slutt legg til IKEv2. Stadfest både datastien og oppsettporten, for det er her gammalt utstyr og moderne nettverk er usamde. Å ta dette trinnet feil tyder å feilsøkje klienten mot ein funksjon den andre enden aldri hadde.

PPTP: prov GRE før du redigerer pppd

PPTP på Linux er ikkje ein tenesteprosess du startar, men eit pppd-kall, og tilkoplingsparametrane bur i ei namngjeven peer-fil som pppd les når ho vert kalla. Distribusjonar pakkar det framleis, sjølv om dei kjende veikskapane til protokollen gjer det ueigna for noko kjenslevart, så hald det strengt for ei eining som ikkje tilbyr noko anna. Fylg med på GRE medan klienten forhandlar, med eit kort opptak i staden for ei gjetting. Feilen som kostar mest tid er ikkje autentiseringa, men den manglande datastien.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Viss oppsettet vert fullført og sambandet aldri ber trafikk, mistenk GRE-stien før du rører ved påloggingsinformasjon. Tryggingsgrupper i skyen treng ein eksplisitt regel for protokoll 47, og nokre nett blokkerer han heilt utan ein synleg feil. Test frå nettet du faktisk skal bruke, ikkje frå eit laboratorium som tillèt alt.

L2TP/IPsec: eitt passande framlegg slår ti forsøk

Les loggen til tenesteprosessen i staden for skrivebordsdialogen, for dialogen slår saman fleire ulike feil til éi melding. Ein NO_PROPOSAL_CHOSEN-feil høyrer til første fase: klienten baud på ei kryptering, ein hash eller ei Diffie-Hellman-gruppe som tenaren ikkje godtek. List opp kva eininga støttar og skriv eitt framlegg som passar, for tilfeldige kombinasjonar gjev oftast den same feilen langsamt. På ein skrivebord er den praktiske klienten NetworkManager L2TP-programtillegget med strongSwan eller Libreswan under.

Ein framleggsstreng som tyder éin ting for eit skrivebordsprogramtillegg kan tyde noko anna for tenesteprosessen det overlèt arbeidet til, så hald syntaksen passande for laget du redigerer. Viss eininga òg krev ein tunnelhemmelegheit, er det eit eige trinn frå IPsec-nøkkelen. Stadfest kva av dei to grensesnittet spør om før du skriv noko i det.

Aggressiv IKEv1 med XAuth, og portal-tilfellet

Eit endepunkt i FortiGate-stil vil vanlegvis ha aggressiv modus med XAuth og ei adresse i konfigurert modus, noko eit grafisk programtillegg kanskje ikkje viser i det heile. Den innebygde tenesteprosessen handterer det, og blokka nedanfor er forma på den konfigurasjonen, ikkje ei fullstendig fil. Sjekk gjeldande dokumentasjon frå leverandøren for framleggsverdiane.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Eldre strongSwan-utgåver brukte xauth=client der versjon 5 brukar leftauth2=xauth, så eit kopiert utdrag kan feile berre på syntaksen. For ein TLS-portal handterer openconnect, som snakkar AnyConnect-protokollen, Cisco og dei fleste omdøypte merka, og det treng ei TUN-eining pluss rettane til å konfigurere ho. Send portaladressa nøyaktig slik nettlesaren viser ho, inkludert kvar stig eininga ventar, og kontroller deretter den tildelte adressa før du testar noko bak ho. Å opprette grensesnittet på førehand fjernar éin klasse overraskingar under oppsettet.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Kopla til, og verifiser deretter i fast rekkjefølgje

Køyr nøyaktig éin VPN-handsamar om gongen, fordi ein NetworkManager-profil og ein handstarta tenesteprosess vil kjempe om ruter og DNS. Ta ned profilen før du testar ei manuell tilkopling, og stadfest at ingen gammal tunnelgrensesnitt overlever. Verifiser deretter i denne rekkjefølgja: tunneladresse, rute til den einaste interne verten du treng, namneoppslag og til slutt ei faktisk førespurnad. Eit grønt ikon provar autentisering og ingenting anna.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Viss eit trinn feilar, stopp der i staden for å teste det neste, fordi ein DNS-feil nedanfor ei broten rute lærer deg ingenting. Lagre ein kopi av den fungerande profilen før du eksperimenterer, fordi ei sletta tilkoplingsfil lett går tapt og er tungvint å byggje opp att. Oppbevar framleggsverdiane i same notatet som einingmodellen og fastvareversjonen, fordi det notatet er skilnaden mellom ein migrering og eit arkeologiprosjekt når boksen vert bytt ut.