FortiGate IPsec pe Linux: care client se conectează de fapt

Colegul tău de pe Windows importă un profil din expertul FortiGate și e online într-un minut. Tu instalezi același pachet al furnizorului pe Ubuntu, cauți o filă IPsec și găsești un client care știe doar să deschidă un SSL VPN. Concluzia care urmează este de obicei greșită de două ori: gateway-ul nu te respinge și compilarea Linux nu este stricată. Fortinet livrează acel client doar cu suport SSL VPN, așa că un profil IPsec mobil nu are unde să locuiască și trebuie reconstruit undeva unde se vorbește IKEv1.

Mai întâi, decide ce protocol ți-a fost dat de fapt

Acea reconstrucție este mecanică odată ce încetezi să tratezi clientul furnizorului ca implementarea de referință.

Dispozitivele FortiGate publică atât SSL VPN, cât și IPsec, iar e-mailul de predare spune rareori care ți-a fost acordat. Un URL de portal plus o pagină de autentificare în stil browser înseamnă SSL VPN, iar pe Linux răspunsul acolo este openfortivpn, nu maparea câmpurilor de mai jos. Un identificator de grup plus o cheie prepartajată înseamnă IPsec mobil, ceea ce gestionează vpnc și strongSwan.

Să greșești aici este cel mai frecvent motiv pentru care o încercare pe Linux moare înainte de a se termina prima fază: clientul oferă IKEv1 unui portal HTTPS sau invers. Cere administratorului numele protocolului în scris înainte de a instala ceva.

Patru acreditări călătoresc în patru câmpuri diferite

Cuvântul password apare de două ori în majoritatea predărilor și înseamnă două lucruri diferite. Cheia prepartajată autentifică peer-ul însuși și este un secret de mașină pe care administratorul îl citește din configurația gateway-ului. Parola contului tău este o acreditare separată care dovedește ce om stă în spatele acelui peer.

Celelalte două valori sunt mai ușor de ratat. Identificatorul de grup este șirul pe care expertul l-a scris în obiectul de grup IPsec, iar 0 este o valoare legitimă, nu un câmp gol. Propunerea acoperă criptarea, hashingul și un grup Diffie-Hellman pentru fiecare fază, plus setarea PFS, iar fiecare element din ea trebuie să se potrivească cu gateway-ul. Când o conexiune eșuează în faza 1, aproape întotdeauna vinovat este unul dintre acele patru, așa că notează-le separat în loc să le arunci într-un singur dialog.

Ce trebuie să conțină fiecare câmp vpnc

Instalează clientul împreună cu interfața editorului, apoi creează o conexiune VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Setează gateway-ul pe adresa publică a FortiGate și numele grupului exact pe identificatorul din gateway, inclusiv un zero gol. Group password preia cheia prepartajată, iar numele de utilizator și parola preiau contul tău, cu orice token adăugat așa cum se așteaptă gateway-ul. În dialogul avansat, alege grupul Diffie-Hellman pe care îl numește propunerea, aliniază PFS la același grup, activează NAT traversal când clientul este în spatele unui router de acasă și lasă detectarea peer-ului mort în același pas cu gateway-ul.

Numele grupului este câmpul care se sare, pentru că pare opțional și zero-ul implicit seamănă cu un substituent. Trimite-l gol și clientul transmite un identificator diferit de cel pe care îl validează gateway-ul. Dacă profilul tot eșuează, compară valorile avansate cu clientul Windows care funcționează, nu cu o postare de forum pentru alt site.

Același profil scris pentru strongSwan

strongSwan este recipientul mai bun pe termen lung pentru aceste valori, deoarece configurația este un fișier text pe care îl poți revizui și păstra:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Citește liniile propunerii înainte de bloc, pentru că semnul exclamării de la final le schimbă sensul: fixează acea singură propunere și elimină alternativele pe care clientul le-ar oferi altfel. Un gateway configurat pentru o singură pereche de transformări va respinge un client care se deschide cu o listă, deci fixarea este cea care transformă o negociere într-o potrivire. Ia numele exacte ale algoritmilor din profilul gateway-ului care funcționează și înlocuiește substituenții cu valorile tale.

Cele două linii de autentificare nu sunt redundante. PSK dovedește peer-ul, blocul XAuth dovedește utilizatorul, iar eliminarea oricăreia lasă o fază pe care gateway-ul nu o va termina.

Citește eșecul înainte de a schimba alt câmp

Lucrează invers de la simptom în loc să re-randomizezi dialogul. Un IKE SA care urcă fără adresă alocată înseamnă că schimbul de autentificare a utilizatorului a eșuat sau nu a rulat niciodată, așa că verifică contul și tratarea tokenului. O fază 1 care nu se termină niciodată indică propunerea, identificatorul de grup sau modul agresiv, iar fiecare dintre ele este comparat cu gateway-ul, nu doar cu clientul Windows.

Un tunel care se stabilește și apoi moare la fiecare câteva minute este o neînțelegere privind detectarea peer-ului mort între cele două capete; aliniază timerul gateway-ului în loc să dezactivezi keepalive-urile peste tot. Un tunel stabilit în care gazdele biroului rămân inaccesibile înseamnă de obicei că subrețeaua împinsă nu a ajuns niciodată în tabela de rutare locală, ceea ce un client terț s-ar putea să nu facă singur.

Predă valorile care funcționează proprietarului gateway-ului când termini: protocol, identificator de grup, cheie prepartajată, propunere, PFS și decizia DPD. Următoarea mașină Linux durează atunci minute în loc de o seară, iar nimeni nu trebuie să redescopere că numele grupului era zero.