Client Fortinet pentru Linux: verificați gateway-ul înainte de a repara

Ghidul arhivat spune să instalați biblioteci pe 32 de biți, să aplicați un patch unei teme GTK și să rulați instalatorul dintr-un terminal. O parte din acest sfat era corectă pentru o anumită versiune de client, și nimic din el nu poate readuce un mod tunel pe care gateway-ul nu îl mai oferă. Înainte de a schimba un pachet, găsiți prima etapă care a eșuat. Aceasta merge de la gateway spre interior, pentru că acolo răspunsurile sunt ieftine și o reparație locală greșită costă cel mai mult timp.

Verificarea 1: numiți etapa care a eșuat

Trei etape eșuează în moduri diferite. Programul nu pornește, pornește și respinge identitatea serverului, sau se conectează și gateway-ul nu are un serviciu de tipul de care aveți nevoie. Fiecare eșec lasă propria dovadă: o eroare de încărcător, un mesaj de certificat, un răspuns al gateway-ului care numește un mod indisponibil.

Notați asta înainte de a atinge ceva. Tot ce urmează depinde de etapa pe care ați numit-o, iar cele trei reparații nu au nimic în comun.

Verificarea 2: versiunea gateway-ului și modul tunel

Modul tunel a dispărut pe gateway-urile actuale, iar tabelul de integrare FortiClient 7.4.4 pentru Linux este locul unde este scris acest lucru: FortiOS 7.6.3 și versiunile ulterioare nu mai oferă modul tunel SSL VPN și îi îndrumă pe administratori către IPsec. Păstrați produsul, versiunea și modul legate de acea frază atunci când o repetați. Nu spune nimic despre fiecare produs Fortinet și nimic despre funcțiile de acces web care încă există. Compatibilitatea generală a versiunilor și disponibilitatea unui singur mod tunel sunt verificări separate.

Întrebați proprietarul gateway-ului două lucruri: ce versiune rulează gateway-ul și ce metode de acces sunt activate astăzi. Cereți răspunsul în scris, cu șirul versiunii și pagina de setări sau linia de configurare din care provine, pentru că o asigurare verbală este cea care trimite oamenii înapoi la ghidul arhivat. Apoi verificați acel răspuns față de notele gateway-ului sau matricea furnizorului pentru exact acea versiune. Un browser care afișează portalul web dovedește că portalul răspunde, și nimic mai mult.

Verificarea 3: ediția clientului pe care proprietarul o aprobă

Obțineți ediția și versiunea aprobate ale clientului Linux, apoi verificați sistemul de operare, arhitectura, desktopul și fluxul de autentificare acceptate. Matricea 7.4.4 este un exemplu legat de o versiune, nu o recomandare pentru cel mai nou client și nici o promisiune pentru fiecare derivat. Întrebați ce client va susține proprietarul cu adevărat, pentru că acel răspuns face parte din migrare și nu este o idee ulterioară. Un client care moare înainte ca primul său pachet să ajungă la gateway dovedește ceva despre laptop, nu despre serviciu.

Bibliotecile pe 32 de biți și o temă corectată schimbă ce poate încărca binarul; nu schimbă ce acceptă furnizorul. Dacă sistemul de operare sau fluxul de autentificare sunt în afara matricei, întrebarea de calificare are deja răspuns.

Verificarea 4: cereți profilul de înlocuire

Dacă organizația a trecut de la modul tunel SSL VPN la IPsec, cereți noul profil și procedura de înrolare în aceeași conversație. Nu redenumiți o configurație SSL și nu presupuneți că câmpurile se transferă: un profil IPsec numește o versiune IKE, un gateway la distanță și identitatea acestuia, o metodă de autentificare și selectorii de trafic pe care fiecare parte îi acceptă. Politica de cont și de dispozitiv poate fi aplicată și altfel. O redenumire produce un client care pare configurat și nu negociază nimic.

Citiți profilul înainte de a avea încredere în el. Trebuie să indice versiunea IKE și propunerile, dacă autentificarea folosește un certificat sau o cheie partajată în prealabil, ce subrețele locale și la distanță sunt selectate și ce așteaptă gateway-ul ca identitate a sa. Confirmați că clientul Linux aprobat acceptă această configurație, pentru că un document de migrare nu este o declarație de paritate a funcțiilor pentru fiecare versiune de client. Un client independent precum openfortivpn nu este un interpretor OpenVPN, așa că tratați orice altceva cu SSL în nume ca neaprobat până când proprietarul spune altceva pentru acest mod, acest flux de autentificare și această politică de dispozitive.

Verificarea 5: dependențe locale, apoi validați și înregistrați

Odată ce gateway-ul și clientul sunt lămurite, o eroare de pornire este o problemă de împachetare, iar instrucțiunile pachetului întreținut sunt referința de urmat. O eroare de identitate TLS aparține operatorului: ancorele de încredere și numele așteptat sunt configurația lui, nu ceva de ocolit local. Acestea sunt cele două etape în care ghidul arhivat a fost vreodată util.

Niciuna nu se rezolvă acceptând un certificat necunoscut sau dezactivând o verificare a stării dispozitivului. Păstrați verificările MFA și de dispozitiv la locul lor, pentru că restabilirea conectivității slăbind aceste verificări schimbă o întrerupere pe un incident. Dacă modul a dispărut, niciun indicator local nu îl readuce.

După modificarea aprobată, ajungeți la resursa privată dorită, confirmați rezolvarea DNS și reconectați-vă o dată. Înregistrați clientul, platforma, versiunea gateway-ului și modul tunel împreună, pentru că următoarea persoană are nevoie de toate patru. Un program care se deschide cu succes a trecut etapa locală de pornire, și nimic mai mult.