FortiGate IPsec w Linuksie: który klient naprawdę się łączy

Klient Linuksa od dostawcy mówi tylko SSL VPN. Mobilny profil IPsec trzeba odtworzyć w vpnc lub strongSwanie, a cztery pola muszą zgadzać się z bramą.

Twój kolega z Windows importuje profil kreatora FortiGate i jest online w ciągu minuty. Ty instalujesz ten sam pakiet dostawcy na Ubuntu, szukasz karty IPsec i znajdujesz klienta, który umie tylko otworzyć SSL VPN portal. Wniosek, który się nasuwa, jest zwykle podwójnie błędny: brama cię nie odrzuca, a kompilacja Linuksa nie jest zepsuta. Fortinet dostarcza tego klienta tylko z obsługą SSL VPN, więc mobilny profil IPsec nie ma gdzie mieszkać i trzeba go odtworzyć tam, gdzie mówi się IKEv1.

Najpierw ustal, jaki protokół faktycznie ci przydzielono

To odtworzenie jest mechaniczne, gdy przestaniesz traktować klienta dostawcy jako implementację referencyjną.

Urządzenia FortiGate publikują zarówno SSL VPN, jak i IPsec, a e-mail przekazania rzadko mówi, który ci przyznano. Adres URL portalu plus strona logowania w stylu przeglądarki oznacza SSL VPN, a w Linuksie odpowiedzią jest tam openfortivpn, nie mapowanie pól poniżej. Identyfikator grupy plus klucz wstępnie współdzielony oznacza mobilny IPsec, którym zajmują się vpnc i strongSwan.

Pomyłka w tym miejscu to najczęstsza przyczyna, dla której próba w Linuksie umiera przed zakończeniem pierwszej fazy: klient oferuje IKEv1 portalowi HTTPS albo odwrotnie. Zanim cokolwiek zainstalujesz, poproś administratora o nazwę protokołu na piśmie.

Cztery poświadczenia podróżują w czterech różnych polach

Słowo password pojawia się w większości przekazań dwa razy i znaczy dwie różne rzeczy. Klucz wstępnie współdzielony uwierzytelnia samego peera i jest tajemnicą maszyny, którą administrator odczytuje z konfiguracji bramy. Hasło twojego konta to osobne poświadczenie, które dowodzi, który człowiek stoi za tym peerem.

Dwie pozostałe wartości łatwiej przeoczyć. Identyfikator grupy to ciąg, który kreator zapisał w obiekcie grupy IPsec, a 0 jest wartością legalną, nie pustym polem. Propozycja obejmuje szyfrowanie, haszowanie i grupę Diffie-Hellmana dla każdej fazy oraz ustawienie PFS, a każdy jej punkt musi się zgadzać z bramą. Gdy połączenie zawodzi w fazie 1, prawie zawsze winny jest jeden z tych czterech, więc zapisuj je osobno, zamiast wrzucać do jednego okna.

Co musi zawierać każde pole vpnc

Zainstaluj klienta wraz z interfejsem edytora, a następnie utwórz połączenie VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Ustaw bramę na publiczny adres FortiGate, a nazwę grupy dokładnie na identyfikator z bramy, łącznie z nagim zerem. Group password przyjmuje klucz wstępnie współdzielony, natomiast nazwa użytkownika i hasło przyjmują twoje konto, z dowolnym tokenem dodanym tak, jak oczekuje brama. W oknie zaawansowanym wybierz grupę Diffie-Hellman, którą wymienia propozycja, dopasuj PFS do tej samej grupy, włącz NAT traversal, gdy klient jest za routerem domowym, i pozostaw wykrywanie martwego peera w tym samym kroku co brama.

Nazwa grupy to pole, które się pomija, bo wygląda na opcjonalne, a domyślne zero przypomina symbol zastępczy. Wyślij je puste, a klient prześle inny identyfikator niż ten, który waliduje brama. Jeśli profil nadal zawodzi, porównaj wartości zaawansowane z działającym klientem Windows, a nie z postem na forum dla innej witryny.

Ten sam profil napisany dla strongSwan

strongSwan to lepszy długoterminowy pojemnik na te wartości, ponieważ konfiguracja jest plikiem tekstowym, który możesz przejrzeć i zachować:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Przeczytaj wiersze propozycji przed blokiem, bo wykrzyknik na końcu zmienia ich znaczenie: przypina tę jedną propozycję i usuwa alternatywy, które klient inaczej by zaproponował. Brama skonfigurowana na jedną parę transformacji odrzuci klienta, który otwiera się listą, więc właśnie przypięcie zamienia negocjacje w dopasowanie. Weź dokładne nazwy algorytmów z działającego profilu bramy i zastąp symbole zastępcze własnymi wartościami.

Dwa wiersze uwierzytelniania nie są zbędne. PSK dowodzi peera, blok XAuth dowodzi użytkownika, a pominięcie któregokolwiek zostawia fazę, której brama nie dokończy.

Przeczytaj błąd, zanim zmienisz kolejne pole

Pracuj wstecz od objawu, zamiast ponownie losować okno. IKE SA, który wstaje bez przydzielonego adresu, oznacza, że wymiana uwierzytelniania użytkownika nie powiodła się albo nigdy nie ruszyła, więc sprawdź konto i obsługę tokena. Faza 1, która nigdy się nie kończy, wskazuje na propozycję, identyfikator grupy lub tryb agresywny, a każdy z nich porównuje się z bramą, nie tylko z klientem Windows.

Tunel, który się nawiązuje, a potem ginie co kilka minut, to niezgodność wykrywania martwego peera między końcami; dopasuj timer bramy, zamiast wyłączać keepalive wszędzie. Nawiązany tunel, w którym hosty biurowe pozostają nieosiągalne, zwykle oznacza, że wypchnięta podsieć nigdy nie trafiła do lokalnej tabeli routingu, czego klient innej firmy może sam nie zrobić.

Po zakończeniu przekaż działające wartości właścicielowi bramy: protokół, identyfikator grupy, klucz wstępnie współdzielony, propozycję, PFS i decyzję o DPD. Wtedy następna maszyna z Linuksem zajmie minuty zamiast wieczoru i nikt nie będzie musiał odkrywać od nowa, że nazwa grupy była zerem.

Powiązane artykuły