په Linux کې FortiGate IPsec: کوم کلاینټ واقعاً نښلوي

ستاسو د Windows همکار د FortiGate وزرډ پروفایل واردوي او په یوه دقیقه کې آنلاین وي. تاسو په Ubuntu کې هماغه د عرضه کوونکي بسته نصب کوئ، د IPsec ټب پلټئ، او یو کلاینټ ومومئ چې یوازې SSL VPN پورټال پرانیستل پوهیږي. هغه پایله چې معمولاً ورڅخه اخیستل کیږي دوه ځله غلطه ده: ګیټوې تاسو نه ردوي، او د Linux جوړښت خراب نه دی. Fortinet هغه کلاینټ یوازې د SSL VPN ملاتړ سره لیږي، نو د موبایل IPsec پروفایل لپاره د اوسیدو ځای نشته او باید هغه چېرې بیا جوړ شي چې IKEv1 ورباندې ویل کیږي.

لومړی پریکړه وکړئ چې په رښتیا کوم پروتوکول درکړل شوی

دا بیا جوړول هغه وخت میخانیکي دي چې د عرضه کوونکي کلاینټ د مرجع پلي کولو په توګه په پام کې نیول بند کړئ.

د FortiGate وسایل هم SSL VPN او هم IPsec خپروي، او د سپارلو بریښنالیک په ندرت سره وایي چې کوم یو درکړل شو. د پورټال URL سره د براوزر په سټایل ننوت پاڼه معنی SSL VPN، او په Linux کې هلته ځواب openfortivpn دی، نه لاندې د ځایونو نقشه. د ګروپ پیژندونکی سره مخکې شریک شوی کیلي معنی موبایل IPsec، چې vpnc او strongSwan یې سمبالوي.

په دې کې تېروتنه کول په Linux کې د هڅې لومړي پړاو له بشپړیدو مخکې د مړ کیدو ترټولو عام لامل دی: کلاینټ HTTPS پورټال ته IKEv1 وړاندیز کوي یا برعکس. د هر څه له نصبولو مخکې له مدیر څخه د پروتوکول نوم په لیکلي ډول وغواړئ.

څلور اعتبارنامې په څلورو بېلو ځایونو کې سفر کوي

د password کلمه په ډیرو سپارلو کې دوه ځله راځي او دوه بېل شیان معنی کوي. مخکې شریک شوی کیلي خپله پیر تصدیقوي، او دا د ماشین راز دی چې مدیر یې د ګیټوې ترتیباتو څخه لولي. ستاسو د حساب پټ نوم جلا اعتبارنامه ده چې ښیي کوم انسان د هغه پیر تر شا دی.

نور دوه ارزښتونه اسانه له پامه غورځیدونکي دي. د ګروپ پیژندونکی هغه تار دی چې وزرډ د IPsec ګروپ شي کې لیکلی، او 0 یو قانوني ارزښت دی نه خالي ځای. وړاندیز د هر پړاو لپاره کوډ کول، هش کول او یوه Diffie-Hellman ګروپ، د PFS ترتیب سره یوځای، رانغاړي، او د هغې هر توکی باید د ګیټوې سره سم وي. کله چې اړیکه په 1 پړاو کې ناکامه شي، نږدې تل له هغو څلورو څخه یو مجرم وي، نو هغوی جلا ولیکئ نه دا چې په یوه خبرو اترو کې یې واچوئ.

هر د vpnc ځای باید څه ولري

کلاینټ د ایډیټر مخ سره یوځای نصب کړئ، بیا د VPNC اړیکه جوړه کړئ:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

ګیټوې ته د FortiGate عامه پته وټاکئ، او د ګروپ نوم په سمه توګه د ګیټوې پیژندونکي ته، په شمول لوڅ صفر. Group password مخکې شریک شوی کیلي اخلي، پداسې حال کې چې کارن نوم او پټ نوم ستاسو حساب اخلي، هر ټوکن د ګیټوې د تمې سره سم ورزیات شوی. په پرمختللې خبرو اترو کې، هغه Diffie-Hellman ګروپ وټاکئ چې وړاندیز یې نومولی، PFS له هماغه ګروپ سره سم کړئ، کله چې کلاینټ د کور روټر تر شا وي NAT تیریدل فعال کړئ، او د مړ پیر کشف د ګیټوې سره په یوه ګام کې پرېږدئ.

د ګروپ نوم هغه ځای دی چې پریښودل کیږي، ځکه چې اختیاري ښکاري او د تلواليز صفر د ځای نیونکي په څیر ښکاري. دا خالي ولېږئ نو کلاینټ د هغه پیژندونکي څخه بېل پیژندونکی لیږي چې ګیټوې یې تصدیقوي. که پروفایل لا هم ناکام شي، پرمختللي ارزښتونه د بل سایټ د فورمې پوسټ سره نه، بلکې د کار کوونکي Windows کلاینټ سره پرتله کړئ.

هماغه پروفایل د strongSwan لپاره لیکل شوی

د دې ارزښتونو لپاره strongSwan غوره اوږدمهاله لوښی دی، ځکه چې ترتیبات یو متن فایل دی چې تاسو یې کتنه او ساتل کولای شئ:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

د بلاک مخکې د وړاندیز کرښې ولولئ، ځکه چې په پای کې حیرانتیا نښه د هغوی معنی بدلوي: دا هماغه یو وړاندیز پین کوي او هغه بدیلونه لرې کوي چې کلاینټ به بل ډول وړاندې کړي. هغه ګیټوې چې یوازې د یوې بدلون جوړې لپاره تنظیم شوې وي د لیست سره پرانیستل شوی کلاینټ به رد کړي، نو هماغه پین کول خبرې اترې په سمون بدلوي. د الګوریتمونو دقیق نومونه د کار کوونکي ګیټوې پروفایل څخه واخلئ، او د ځای نیونکو ځای خپل ارزښتونه ونیسئ.

د تصدیق دوه کرښې اضافي نه دي. PSK پیر ثابتوي، XAuth بلاک کارن ثابتوي، او د دواړو څخه یو پریښودل داسې پړاو پاتې کوي چې ګیټوې به یې نه بشپړوي.

له بل ځای بدلولو مخکې ناکامي ولولئ

د خبرو اترو بیا تصادفي کولو پر ځای له نښې څخه شاته کار وکړئ. هغه IKE SA چې پرته له ټاکل شوې پتې پورته کیږي معنی کارن تصدیق تبادله ناکامه شوه یا هېڅکله ونه ځغله، نو حساب او د ټوکن سمبالول وګورئ. هغه 1 پړاو چې هېڅکله نه بشپړیږي وړاندیز، ګروپ پیژندونکی یا تیریږي حالت ته اشاره کوي، او هر یو له هغوی د ګیټوې سره پرتله کیږي، نه یوازې د Windows کلاینټ سره.

هغه تونل چې جوړیږي او بیا هر څو دقیقو کې مړ کیږي د دوو سریو ترمنځ د مړ پیر کشف ناسمون دی؛ د ګیټوې ټایمر سره سم کړئ نه دا چې هر چېرې keepalive بند کړئ. هغه جوړ شوی تونل چې د دفتر کوربنه پکې نه رسیږي معمولاً معنی هغه رالېږل شوې فرعي شبکه هېڅکله سیمه ییز روټینګ جدول ته نه ده رسیدلې، کوم کار چې دریم اړخ کلاینټ ممکن پخپله ونه کړي.

کله چې بشپړ شئ، کار کوونکي ارزښتونه د ګیټوې مالک ته بېرته ورکړئ: پروتوکول، ګروپ پیژندونکی، مخکې شریک شوی کیلي، وړاندیز، PFS او د DPD پریکړه. بیا به راتلونکی Linux ماشین د یوې ماښام پر ځای څو دقیقې واخلي، او هیچا ته به اړتیا نه وي چې بیا ومومي چې د ګروپ نوم صفر و.