Linux ਉੱਤੇ FortiGate IPsec: ਕਿਹੜਾ ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਜੁੜਦਾ ਹੈ

ਤੁਹਾਡਾ Windows ਸਹਿਕਰਮੀ FortiGate ਵਿਜ਼ਾਰਡ ਪਰੋਫਾਈਲ ਆਯਾਤ ਕਰਦਾ ਹੈ ਅਤੇ ਇੱਕ ਮਿੰਟ ਵਿੱਚ ਆਨਲਾਈਨ ਹੋ ਜਾਂਦਾ ਹੈ। ਤੁਸੀਂ Ubuntu ਉੱਤੇ ਉਹੀ ਵਿਕਰੇਤਾ ਪੈਕੇਜ ਸਥਾਪਿਤ ਕਰਦੇ ਹੋ, IPsec ਟੈਬ ਲੱਭਦੇ ਹੋ, ਅਤੇ ਅਜਿਹਾ ਕਲਾਇੰਟ ਮਿਲਦਾ ਹੈ ਜੋ ਸਿਰਫ਼ SSL VPN ਪੋਰਟਲ ਖੋਲ੍ਹਣਾ ਜਾਣਦਾ ਹੈ। ਇਸ ਤੋਂ ਬਾਅਦ ਨਿਕਲਣ ਵਾਲਾ ਸਿੱਟਾ ਆਮ ਤੌਰ 'ਤੇ ਦੋ ਪਾਸਿਓਂ ਗਲਤ ਹੁੰਦਾ ਹੈ: ਗੇਟਵੇ ਤੁਹਾਨੂੰ ਰੱਦ ਨਹੀਂ ਕਰ ਰਿਹਾ, ਅਤੇ Linux ਬਿਲਡ ਟੁੱਟੀ ਨਹੀਂ ਹੈ। Fortinet ਉਹ ਕਲਾਇੰਟ ਸਿਰਫ਼ SSL VPN ਸਹਾਇਤਾ ਨਾਲ ਭੇਜਦਾ ਹੈ, ਇਸ ਲਈ ਮੋਬਾਈਲ IPsec ਪਰੋਫਾਈਲ ਲਈ ਰਹਿਣ ਦੀ ਥਾਂ ਨਹੀਂ ਹੈ ਅਤੇ ਇਸਨੂੰ ਉੱਥੇ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਪੈਂਦਾ ਹੈ ਜਿੱਥੇ IKEv1 ਬੋਲਿਆ ਜਾਂਦਾ ਹੈ।

ਪਹਿਲਾਂ ਫੈਸਲਾ ਕਰੋ ਕਿ ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਕਿਹੜਾ ਪਰੋਟੋਕਾਲ ਦਿੱਤਾ ਗਿਆ ਹੈ

ਵਿਕਰੇਤਾ ਦੇ ਕਲਾਇੰਟ ਨੂੰ ਹਵਾਲਾ ਲਾਗੂਆਂ ਮੰਨਣਾ ਛੱਡਦਿਆਂ ਹੀ ਇਹ ਦੁਬਾਰਾ ਉਸਾਰੀ ਮਸ਼ੀਨੀ ਹੋ ਜਾਂਦੀ ਹੈ।

FortiGate ਡਿਵਾਈਸਾਂ SSL VPN ਅਤੇ IPsec ਦੋਵੇਂ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਦੀਆਂ ਹਨ, ਅਤੇ ਹੈਂਡਓਵਰ ਈਮੇਲ ਘੱਟ ਹੀ ਦੱਸਦੀ ਹੈ ਕਿ ਤੁਹਾਨੂੰ ਕਿਹੜਾ ਦਿੱਤਾ ਗਿਆ। ਪੋਰਟਲ URL ਨਾਲ ਬ੍ਰਾਊਜ਼ਰ-ਸ਼ੈਲੀ ਦਾ ਲੌਗਇਨ ਪੇਜ ਮਤਲਬ SSL VPN, ਅਤੇ Linux ਉੱਤੇ ਉੱਥੇ ਜਵਾਬ openfortivpn ਹੈ, ਹੇਠਾਂ ਦਿੱਤੀ ਫੀਲਡ ਮੈਪਿੰਗ ਨਹੀਂ। ਗਰੁੱਪ ਪਛਾਣਕਰਤਾ ਨਾਲ ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਮਤਲਬ ਮੋਬਾਈਲ IPsec, ਜਿਸਨੂੰ vpnc ਅਤੇ strongSwan ਸੰਭਾਲਦੇ ਹਨ।

ਇਸ ਵਿੱਚ ਗਲਤੀ ਕਰਨਾ Linux ਕੋਸ਼ਿਸ਼ ਦੇ ਪਹਿਲੇ ਪੜਾਅ ਤੋਂ ਪਹਿਲਾਂ ਮਰਨ ਦਾ ਸਭ ਤੋਂ ਆਮ ਕਾਰਨ ਹੈ: ਕਲਾਇੰਟ HTTPS ਪੋਰਟਲ ਨੂੰ IKEv1 ਦੇ ਰਿਹਾ ਹੈ ਜਾਂ ਉਲਟ. ਕੁਝ ਵੀ ਸਥਾਪਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਸ਼ਾਸਕ ਤੋਂ ਪਰੋਟੋਕਾਲ ਦਾ ਨਾਮ ਲਿਖਤੀ ਰੂਪ ਵਿੱਚ ਮੰਗੋ।

ਚਾਰ ਪ੍ਰਮਾਣ ਚਾਰ ਵੱਖਰੇ ਖੇਤਰਾਂ ਵਿੱਚ ਸਫ਼ਰ ਕਰਦੇ ਹਨ

password ਸ਼ਬਦ ਜ਼ਿਆਦਾਤਰ ਹੈਂਡਓਵਰਾਂ ਵਿੱਚ ਦੋ ਵਾਰ ਆਉਂਦਾ ਹੈ ਅਤੇ ਦੋ ਵੱਖਰੀਆਂ ਗੱਲਾਂ ਦੱਸਦਾ ਹੈ। ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਆਪ ਪੀਅਰ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਹ ਮਸ਼ੀਨ ਭੇਤ ਹੈ ਜੋ ਪ੍ਰਸ਼ਾਸਕ ਗੇਟਵੇ ਸੰਰਚਨਾ ਤੋਂ ਪੜ੍ਹਦਾ ਹੈ। ਤੁਹਾਡਾ ਖਾਤਾ ਪਾਸਵਰਡ ਵੱਖਰਾ ਪ੍ਰਮਾਣ ਹੈ ਜੋ ਦੱਸਦਾ ਹੈ ਕਿ ਉਸ ਪੀਅਰ ਪਿੱਛੇ ਕਿਹੜਾ ਮਨੁੱਖ ਹੈ।

ਬਾਕੀ ਦੋ ਮੁੱਲ ਖੁੰਝਾਉਣਾ ਸੌਖਾ ਹੈ। ਗਰੁੱਪ ਪਛਾਣਕਰਤਾ ਉਹ ਸਤਰ ਹੈ ਜੋ ਵਿਜ਼ਾਰਡ ਨੇ IPsec ਗਰੁੱਪ ਆਬਜੈਕਟ ਵਿੱਚ ਲਿਖੀ, ਅਤੇ 0 ਖਾਲੀ ਖੇਤਰ ਨਹੀਂ, ਵੈਧ ਮੁੱਲ ਹੈ। ਪ੍ਰਸਤਾਵ ਹਰ ਪੜਾਅ ਲਈ ਐਨਕ੍ਰਿਪਸ਼ਨ, ਹੈਸ਼ਿੰਗ ਅਤੇ Diffie-Hellman ਗਰੁੱਪ, ਨਾਲ ਹੀ PFS ਸੈਟਿੰਗ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸਦੀ ਹਰ ਵਸਤੂ ਗੇਟਵੇ ਨਾਲ ਮੇਲ ਖਾਣੀ ਚਾਹੀਦੀ ਹੈ। ਜਦੋਂ ਕਨੈਕਸ਼ਨ 1ਲੇ ਪੜਾਅ ਵਿੱਚ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ, ਲਗਭਗ ਹਮੇਸ਼ਾ ਉਨ੍ਹਾਂ ਚਾਰ ਵਿੱਚੋਂ ਇੱਕ ਦੋਸ਼ੀ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਉਨ੍ਹਾਂ ਨੂੰ ਇੱਕ ਸੰਵਾਦ ਵਿੱਚ ਪਾਉਣ ਦੀ ਬਜਾਏ ਵੱਖਰੇ ਲਿਖੋ।

ਹਰ vpnc ਖੇਤਰ ਵਿੱਚ ਕੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ

ਕਲਾਇੰਟ ਨੂੰ ਸੰਪਾਦਕ ਇੰਟਰਫੇਸ ਨਾਲ ਸਥਾਪਿਤ ਕਰੋ, ਫਿਰ VPNC ਕਨੈਕਸ਼ਨ ਬਣਾਓ:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

ਗੇਟਵੇ ਨੂੰ FortiGate ਦੇ ਜਨਤਕ ਪਤੇ ਉੱਤੇ, ਅਤੇ ਗਰੁੱਪ ਦਾ ਨਾਮ ਗੇਟਵੇ ਦੇ ਪਛਾਣਕਰਤਾ ਉੱਤੇ ਬਿਲਕੁਲ, ਨੰਗੇ ਸਿਫ਼ਰ ਸਮੇਤ ਸੈੱਟ ਕਰੋ। Group password ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ ਲੈਂਦਾ ਹੈ, ਜਦਕਿ ਵਰਤੋਂਕਾਰ ਨਾਮ ਅਤੇ ਪਾਸਵਰਡ ਤੁਹਾਡਾ ਖਾਤਾ ਲੈਂਦੇ ਹਨ, ਕੋਈ ਵੀ ਟੋਕਨ ਗੇਟਵੇ ਦੀ ਉਮੀਦ ਅਨੁਸਾਰ ਜੋੜ ਕੇ। ਉੱਨਤ ਸੰਵਾਦ ਵਿੱਚ, ਪ੍ਰਸਤਾਵ ਜਿਸ Diffie-Hellman ਗਰੁੱਪ ਦਾ ਨਾਮ ਲੈਂਦਾ ਹੈ ਉਹ ਚੁਣੋ, PFS ਨੂੰ ਉਸੇ ਗਰੁੱਪ ਨਾਲ ਮਿਲਾਓ, ਕਲਾਇੰਟ ਘਰੇਲੂ ਰਾਊਟਰ ਪਿੱਛੇ ਹੋਣ 'ਤੇ NAT ਟ੍ਰਾਵਰਸਲ ਸਮਰੱਥ ਕਰੋ, ਅਤੇ ਡੈੱਡ ਪੀਅਰ ਖੋਜ ਨੂੰ ਗੇਟਵੇ ਨਾਲ ਇੱਕੋ ਕਦਮ ਵਿੱਚ ਰੱਖੋ।

ਗਰੁੱਪ ਦਾ ਨਾਮ ਉਹ ਖੇਤਰ ਹੈ ਜੋ ਛੱਡ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਵਿਕਲਪਿਕ ਲੱਗਦਾ ਹੈ ਅਤੇ ਡਿਫ਼ਾਲਟ ਸਿਫ਼ਰ ਪਲੇਸਹੋਲਡਰ ਵਰਗਾ ਲੱਗਦਾ ਹੈ। ਇਸਨੂੰ ਖਾਲੀ ਭੇਜੋ ਤਾਂ ਕਲਾਇੰਟ ਗੇਟਵੇ ਵੱਲੋਂ ਜਾਂਚੇ ਜਾਣ ਵਾਲੇ ਪਛਾਣਕਰਤਾ ਤੋਂ ਵੱਖਰਾ ਪਛਾਣਕਰਤਾ ਭੇਜਦਾ ਹੈ। ਜੇ ਪਰੋਫਾਈਲ ਫਿਰ ਵੀ ਫੇਲ੍ਹ ਹੋਵੇ, ਤਾਂ ਉੱਨਤ ਮੁੱਲਾਂ ਦੀ ਤੁਲਨਾ ਕਿਸੇ ਹੋਰ ਸਾਈਟ ਦੀ ਫੋਰਮ ਪੋਸਟ ਨਾਲ ਨਹੀਂ, ਸਗੋਂ ਕੰਮ ਕਰ ਰਹੇ Windows ਕਲਾਇੰਟ ਨਾਲ ਕਰੋ।

ਉਹੀ ਪਰੋਫਾਈਲ strongSwan ਲਈ ਲਿਖਿਆ

ਇਹਨਾਂ ਮੁੱਲਾਂ ਲਈ strongSwan ਵਧੀਆ ਦੀਰਘਕਾਲੀ ਬਰਤਨ ਹੈ, ਕਿਉਂਕਿ ਸੰਰਚਨਾ ਇੱਕ ਟੈਕਸਟ ਫਾਈਲ ਹੈ ਜਿਸਨੂੰ ਤੁਸੀਂ ਸਮੀਖਿਆ ਕਰਕੇ ਰੱਖ ਸਕਦੇ ਹੋ:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

ਬਲਾਕ ਤੋਂ ਪਹਿਲਾਂ ਪ੍ਰਸਤਾਵ ਦੀਆਂ ਲਾਈਨਾਂ ਪੜ੍ਹੋ, ਕਿਉਂਕਿ ਅੰਤ ਵਾਲਾ ਵਿਸਮਿਕ ਚਿੰਨ੍ਹ ਉਹਨਾਂ ਦਾ ਅਰਥ ਬਦਲਦਾ ਹੈ: ਇਹ ਉਸੇ ਇੱਕ ਪ੍ਰਸਤਾਵ ਨੂੰ ਪਿੰਨ ਕਰਦਾ ਹੈ ਅਤੇ ਉਹ ਵਿਕਲਪ ਹਟਾਉਂਦਾ ਹੈ ਜੋ ਕਲਾਇੰਟ ਹੋਰਥਾਂ ਦੇਵੇਗਾ। ਇੱਕ ਹੀ ਰੂਪਾਂਤਰਣ ਜੋੜੀ ਲਈ ਸੰਰਚਿਤ ਗੇਟਵੇ ਸੂਚੀ ਨਾਲ ਖੁੱਲ੍ਹਣ ਵਾਲੇ ਕਲਾਇੰਟ ਨੂੰ ਰੱਦ ਕਰੇਗਾ, ਇਸ ਲਈ ਪਿੰਨਿੰਗ ਹੀ ਗੱਲਬਾਤ ਨੂੰ ਮੇਲ ਵਿੱਚ ਬਦਲਦੀ ਹੈ. ਕੰਮ ਕਰ ਰਹੇ ਗੇਟਵੇ ਪਰੋਫਾਈਲ ਤੋਂ ਐਲਗੋਰਿਦਮ ਦੇ ਸਹੀ ਨਾਮ ਲਓ, ਅਤੇ ਪਲੇਸਹੋਲਡਰਾਂ ਨੂੰ ਆਪਣੇ ਮੁੱਲਾਂ ਨਾਲ ਬਦਲੋ।

ਦੋਵੇਂ ਪ੍ਰਮਾਣਿਕਤਾ ਲਾਈਨਾਂ ਬੇਲੋੜੀਆਂ ਨਹੀਂ ਹਨ। PSK ਪੀਅਰ ਨੂੰ ਸਾਬਤ ਕਰਦੀ ਹੈ, XAuth ਬਲਾਕ ਵਰਤੋਂਕਾਰ ਨੂੰ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਛੱਡਣ ਨਾਲ ਅਜਿਹਾ ਪੜਾਅ ਰਹਿ ਜਾਂਦਾ ਹੈ ਜੋ ਗੇਟਵੇ ਪੂਰਾ ਨਹੀਂ ਕਰੇਗਾ।

ਹੋਰ ਖੇਤਰ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਫਲਤਾ ਪੜ੍ਹੋ

ਸੰਵਾਦ ਨੂੰ ਦੁਬਾਰਾ ਬੇਤਰਤੀਬ ਕਰਨ ਦੀ ਬਜਾਏ ਲੱਛਣ ਤੋਂ ਪਿੱਛੇ ਵੱਲ ਕੰਮ ਕਰੋ। ਨਿਰਧਾਰਿਤ ਪਤੇ ਤੋਂ ਬਿਨਾਂ ਉੱਪਰ ਆਉਣ ਵਾਲਾ IKE SA ਮਤਲਬ ਵਰਤੋਂਕਾਰ ਪ੍ਰਮਾਣਿਕਤਾ ਦਾ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਫੇਲ੍ਹ ਹੋਇਆ ਜਾਂ ਕਦੇ ਚੱਲਿਆ ਹੀ ਨਹੀਂ, ਇਸ ਲਈ ਖਾਤਾ ਅਤੇ ਟੋਕਨ ਸੰਭਾਲ ਜਾਂਚੋ। ਕਦੇ ਪੂਰਾ ਨਾ ਹੋਣ ਵਾਲਾ 1ਲਾ ਪੜਾਅ ਪ੍ਰਸਤਾਵ, ਗਰੁੱਪ ਪਛਾਣਕਰਤਾ ਜਾਂ ਹਮਲਾਵਰ ਮੋਡ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰੇਕ ਦੀ ਤੁਲਨਾ ਸਿਰਫ਼ Windows ਕਲਾਇੰਟ ਨਾਲ ਨਹੀਂ, ਗੇਟਵੇ ਨਾਲ ਹੁੰਦੀ ਹੈ।

ਸਥਾਪਿਤ ਹੋ ਕੇ ਫਿਰ ਹਰ ਕੁਝ ਮਿੰਟਾਂ ਬਾਅਦ ਮਰਨ ਵਾਲਾ ਟਨਲ ਦੋਵੇਂ ਸਿਰਿਆਂ ਵਿਚਕਾਰ ਡੈੱਡ ਪੀਅਰ ਖੋਜ ਦਾ ਮਤਭੇਦ ਹੈ; ਹਰ ਥਾਂ keepalive ਬੰਦ ਕਰਨ ਦੀ ਬਜਾਏ ਗੇਟਵੇ ਦੇ ਟਾਈਮਰ ਨਾਲ ਮਿਲਾਓ। ਸਥਾਪਿਤ ਟਨਲ ਵਿੱਚ ਦਫ਼ਤਰ ਦੇ ਹੋਸਟ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਰਹਿਣ ਦਾ ਆਮ ਅਰਥ ਹੈ ਕਿ ਧੱਕਿਆ ਗਿਆ ਸਬਨੈੱਟ ਕਦੇ ਸਥਾਨਕ ਰਾਊਟਿੰਗ ਟੇਬਲ ਵਿੱਚ ਨਹੀਂ ਪਹੁੰਚਿਆ, ਜੋ ਤੀਜੀ ਧਿਰ ਦਾ ਕਲਾਇੰਟ ਸ਼ਾਇਦ ਆਪ ਨਾ ਕਰੇ।

ਮੁਕੰਮਲ ਹੋਣ 'ਤੇ ਕੰਮ ਕਰਨ ਵਾਲੇ ਮੁੱਲ ਗੇਟਵੇ ਦੇ ਮਾਲਕ ਨੂੰ ਵਾਪਸ ਦਿਓ: ਪਰੋਟੋਕਾਲ, ਗਰੁੱਪ ਪਛਾਣਕਰਤਾ, ਪਹਿਲਾਂ-ਸਾਂਝੀ ਕੁੰਜੀ, ਪ੍ਰਸਤਾਵ, PFS ਅਤੇ DPD ਫੈਸਲਾ। ਫਿਰ ਅਗਲੀ Linux ਮਸ਼ੀਨ ਪੂਰੀ ਸ਼ਾਮ ਦੀ ਬਜਾਏ ਕੁਝ ਮਿੰਟ ਲਵੇਗੀ, ਅਤੇ ਕਿਸੇ ਨੂੰ ਵੀ ਦੁਬਾਰਾ ਲੱਭਣਾ ਨਹੀਂ ਪਵੇਗਾ ਕਿ ਗਰੁੱਪ ਦਾ ਨਾਮ ਸਿਫ਼ਰ ਸੀ।