FortiGate IPsec na Linuxu: koji se klijent zapravo povezuje

Linux klijent dobavljača govori samo SSL VPN. Mobilni IPsec profil mora se ponovno izgraditi u vpnc-u ili strongSwanu, a četiri polja moraju se slagati s pristupnikom.

Vaš kolega na Windowsu uvozi FortiGate profil iz čarobnjaka i za minut je online. Vi instalirate isti paket dobavljača na Ubuntu, tražite karticu IPsec i nađete klijent koji zna samo otvoriti SSL VPN portal. Zaključak koji slijedi obično je dvostruko pogrešan: pristupnik vas ne odbija, a Linux gradnja nije pokvarena. Fortinet isporučuje taj klijent samo s podrškom za SSL VPN, pa mobilni IPsec profil nema gdje živjeti i mora se ponovno izgraditi negdje gdje govore IKEv1.

Prvo odlučite koji ste protokol zapravo dobili

Ta obnova je mehanička kad prestanete tretirati klijent dobavljača kao referentnu implementaciju.

FortiGate uređaji objavljuju i SSL VPN i IPsec, a e-mail primopredaje rijetko kaže koji vam je dodijeljen. URL portala plus stranica za prijavu u stilu preglednika znači SSL VPN, a na Linuxu je odgovor tamo openfortivpn, ne mapiranje polja ispod. Identifikator grupe plus unaprijed dijeljeni ključ znači mobilni IPsec, s kojim se nose vpnc i strongSwan.

Pogrešiti ovo je najčešći razlog zašto Linux pokušaj umre prije nego što prva faza završi: klijent nudi IKEv1 HTTPS portalu ili obrnuto. Zatražite od administratora naziv protokola u pisanom obliku prije nego što bilo šta instalirate.

Četiri tajne putuju u četiri različita polja

Riječ password pojavljuje se dvaput u većini primopredaja i znači dvije različite stvari. Unaprijed dijeljeni ključ provjerava samog partnera i to je strojna tajna koju administrator čita iz konfiguracije pristupnika. Lozinka vašeg računa je zasebna tajna koja dokazuje koji čovjek stoji iza tog partnera.

Druge dvije vrijednosti lakše se propuštaju. Identifikator grupe je niz koji je čarobnjak upisao u IPsec objekt grupe, a 0 je legitimna vrijednost, a ne prazno polje. Prijedlog pokriva šifriranje, heširanje i Diffie-Hellman grupu za svaku fazu, plus postavku PFS, i svaka stavka u njemu mora se slagati s pristupnikom. Kada veza padne u fazi 1, gotovo uvijek je krivac jedna od te četiri, pa ih zapisujte odvojeno umjesto da ih trpate u jedan dijalog.

Šta mora sadržavati svako polje vpnc-a

Instalirajte klijent zajedno s uređivačkim sučeljem, pa stvorite VPNC vezu:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Postavite pristupnik na javnu adresu FortiGatea, a ime grupe točno na identifikator s pristupnika, uključujući golu nulu. Group password prima unaprijed dijeljeni ključ, dok korisničko ime i lozinka primaju vaš račun, s bilo kojim tokenom dodanim kako pristupnik očekuje. U naprednom dijalogu odaberite Diffie-Hellman grupu koju prijedlog navodi, uskladite PFS s istom grupom, uključite NAT traversal kada je klijent iza kućnog rutera i ostavite otkrivanje mrtvog partnera u koraku s pristupnikom.

Ime grupe je polje koje se preskače, jer izgleda neobavezno, a zadana vrijednost nula podsjeća na rezervirano mjesto. Pošaljete li ga prazno, klijent prenosi drugačiji identifikator od onog koji pristupnik provjerava. Ako profil i dalje ne uspijeva, usporedite napredne vrijednosti s radnim Windows klijentom, a ne s postom na forumu za drugu lokaciju.

Isti profil napisan za strongSwan

strongSwan je bolji dugoročni spremnik za te vrijednosti, jer je konfiguracija tekstualna datoteka koju možete pregledati i sačuvati:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Pročitajte retke prijedloga prije bloka, jer uskličnik na kraju mijenja njihovo značenje: on prikiva taj jedan prijedlog i uklanja alternative koje bi klijent inače nudio. Pristupnik konfiguriran za jedan par transformacija odbit će klijent koji se otvara popisom, pa prikivanje pretvara pregovaranje u podudaranje. Uzmite točne nazive algoritama iz radnog profila pristupnika i zamijenite rezervirana mjesta svojim vrijednostima.

Dva retka provjere nisu suvišna. PSK dokazuje partnera, XAuth blok dokazuje korisnika, a izostavljanje bilo kojeg ostavlja fazu koju pristupnik neće završiti.

Pročitajte neuspjeh prije nego promijenite još jedno polje

Radite unatrag od simptoma umjesto da iznova nasumično mijenjate dijalog. IKE SA koji se podigne bez dodijeljene adrese znači da je razmjena provjere korisnika neuspjela ili se nikada nije izvršila, pa provjerite račun i rukovanje tokenom. Faza 1 koja nikad ne završi upućuje na prijedlog, identifikator grupe ili agresivni način rada, i svaki od njih se uspoređuje s pristupnikom, a ne samo s Windows klijentom.

Tunel koji se uspostavi i zatim umre svakih nekoliko minuta nesklad je u otkrivanju mrtvog partnera između dva kraja; uskladite mjerač pristupnika umjesto da posvuda isključite keepalive. Uspostavljen tunel u kojem uredski hostovi ostaju nedostupni obično znači da potisnuta podmreža nikad nije stigla u lokalnu tablicu usmjeravanja, što klijent treće strane možda ne čini sam.

Vratite radne vrijednosti vlasniku pristupnika kad završite: protokol, identifikator grupe, unaprijed dijeljeni ključ, prijedlog, PFS i odluku o DPD-u. Sljedeći Linux stroj tada traje minute umjesto večeri i nitko ne mora ponovno otkriti da je ime grupe bilo nula.

Povezani članci