Linux හි FortiGate IPsec: සැබවින්ම සම්බන්ධ වන්නේ කුමන සේවාදායකයද

ඔබේ Windows සගයා FortiGate විශාරද පැතිකඩක් ආයාත කර විනාඩියකින් මාර්ගගත වේ. ඔබ Ubuntu මත එම විකුණුම්කරුගේ ඇසුරුම ස්ථාපනය කර, IPsec පටිත්තක් සොයා, SSL VPN ද්වාරයක් විවෘත කිරීම පමණක් දන්නා සේවාදායකයක් හමු වේ. ඉන් පසු එන නිගමනය සාමාන්‍යයෙන් දෙපැත්තකින්ම වැරදිය: ද්වාරය ඔබව ප්‍රතික්ෂේප කරන්නේ නැත, Linux ගොඩනැගීම කැඩී නැත. Fortinet එම සේවාදායකය SSL VPN සහාය සමඟ පමණක් යවයි, එබැවින් ජංගම IPsec පැතිකඩට ජීවත් වීමට තැනක් නැති අතර IKEv1 කථා කරන තැනක එය නැවත ගොඩනැගිය යුතුය.

පළමුව, ඔබට ඇත්තටම ලැබුණු ප්‍රොටෝකෝලය කුමක්දැයි තීරණය කරන්න

විකුණුම්කරුගේ සේවාදායකය යොමු ක්‍රියාත්මක කිරීම ලෙස සැලකීම නතර කළ වහාම එම නැවත ගොඩනැගීම යාන්ත්‍රික වේ.

FortiGate උපාංග SSL VPN සහ IPsec දෙකම ප්‍රකාශයට පත් කරයි, භාරදීමේ විද්‍යුත් තැපෑල ඔබට ලැබුණේ කුමක්දැයි කලාතුරකින් පවසයි. ද්වාර URL එකක් සමඟ බ්‍රව්සරයට සමාන පිවිසුම් පිටුවක් යනු SSL VPN, සහ Linux මත එහි පිළිතුර openfortivpn, පහත ක්ෂේත්‍ර සිතියම නොවේ. කණ්ඩායම් හඳුනාගැනීමක් සමඟ පෙර-බෙදාගත් යතුරක් යනු ජංගම IPsec, එය vpnc සහ strongSwan හසුරුවයි.

මෙයින් වැරදීම Linux උත්සාහය පළමු අදියර අවසන් වීමට පෙර මිය යාමට හේතු වන වඩාත් පොදු හේතුවයි: සේවාදායකය HTTPS ද්වාරයකට IKEv1 යෝජනා කරමින් සිටී හෝ ඊට විරුද්ධව. කිසිවක් ස්ථාපනය කිරීමට පෙර පරිපාලකගෙන් ප්‍රොටෝකෝලයේ නම ලිඛිතව ඉල්ලන්න.

සත්‍යාපන සටහන් හතරක් වෙනස් ක්ෂේත්‍ර හතරකින් ගමන් කරයි

password යන වචනය බොහෝ භාරදීම්වල දෙවරක් පෙනී එයි සහ විවිධ දේවල් දෙකක් අදහස් කරයි. පෙර-බෙදාගත් යතුර අන්තර්ක්‍රියා සගයාම සත්‍යාපනය කරයි, එය පරිපාලක ද්වාර වින්‍යාසයෙන් කියවන යන්ත්‍ර රහසකි. ඔබේ ගිණුම් මුරපදය එම සගයා පිටුපස සිටින්නේ කුමන මිනිසාද යන්න සනාථ කරන වෙනම සත්‍යාපනයකි.

ඉතිරි අගයන් දෙක මග හැරීම පහසුය. කණ්ඩායම් හඳුනාගැනීම යනු විශාරද IPsec කණ්ඩායම් වස්තුවට ලියූ අක්ෂර පේළිය, සහ 0 යනු හිස් ක්ෂේත්‍රයක් නොව නීත්‍යානුකූල අගයකි. යෝජනාව සෑම අදියරකටම සංකේතනය, හැෂ් කිරීම සහ Diffie-Hellman කණ්ඩායමක්, එසේම PFS සැකසුම ආවරණය කරයි, සහ එහි සෑම අංගයක්ම ද්වාරය සමඟ එකඟ විය යුතුය. සම්බන්ධතාවය 1 වන අදියරේදී අසාර්ථක වූ විට, සෑම විටම පාහේ එම හතරෙන් එකක් වැරදිකරු වේ, එබැවින් ඒවා එකම සංවාදයකට දමනවා වෙනුවට වෙන වෙනම ලියන්න.

සෑම vpnc ක්ෂේත්‍රයකම තිබිය යුත්තේ කුමක්ද

සේවාදායකය සංස්කාරක අතුරුමුහුණත සමඟ ස්ථාපනය කර, පසුව VPNC සම්බන්ධතාවයක් සාදන්න:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

ද්වාරය FortiGate හි පොදු ලිපිනයට, සහ කණ්ඩායම් නාමය ද්වාරයේ හඳුනාගැනීමට හරියටම, නිරුවත් ශුන්‍යය ඇතුළුව සකසන්න. Group password පෙර-බෙදාගත් යතුර ගනී, පරිශීලක නාමය සහ මුරපදය ඔබේ ගිණුම ගනී, ඕනෑම ටෝකනයක් ද්වාරය බලාපොරොත්තු වන පරිදි එකතු කරයි. උසස් සංවාදයේදී, යෝජනාව නම් කරන Diffie-Hellman කණ්ඩායම තෝරන්න, PFS එම කණ්ඩායමට ගලපන්න, සේවාදායකය නිවෙස් රවුටරයක පිටුපස සිටී නම් NAT තරණය සක්‍රීය කරන්න, සහ මළ සගයා හඳුනාගැනීම ද්වාරය සමඟ එකම පියවරේ තබන්න.

කණ්ඩායම් නාමය යනු මඟ හරින ක්ෂේත්‍රයයි, එය අවශ්‍ය නොවන ලෙස පෙනෙන අතර පෙරනිමි ශුන්‍යය ස්ථාන දරන්නෙකුට සමාන ය. එය හිස්ව යවන්න, සේවාදායකය ද්වාරය සත්‍යාපනය කරන හඳුනාගැනීමට වෙනස් හඳුනාගැනීමක් යවයි. පැතිකඩ තවමත් අසාර්ථක නම්, උසස් අගයන් වෙනත් අඩවියක සංසද පළ කිරීමක් සමඟ නොව, ක්‍රියාත්මක Windows සේවාදායකය සමඟ සසඳන්න.

strongSwan සඳහා ලියූ එම පැතිකඩ

මෙම අගයන් සඳහා strongSwan වඩා හොඳ දිගුකාලීන භාජනයකි, මන්ද වින්‍යාසය ඔබට සමාලෝචනය කර තබා ගත හැකි පෙළ ගොනුවකි:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

කොටසට පෙර යෝජනා පේළි කියවන්න, මන්ද අවසානයේ ඇති විස්මයාර්ථ ලකුණ ඒවායේ අර්ථය වෙනස් කරයි: එය එම එකම යෝජනාව ඇමිණීම කර, සේවාදායකය එසේ නොමැති නම් දෙන විකල්ප ඉවත් කරයි. එක් පරිවර්තන යුගලයක් සඳහා වින්‍යාස කළ ද්වාරයක් ලැයිස්තුවකින් විවෘත වන සේවාදායකයක් ප්‍රතික්ෂේප කරනු ඇත, එබැවින් සාකච්ඡාවක් ගැලපීමක් බවට හරවන්නේ ඇමිණීමයි. ක්‍රියාත්මක ද්වාර පැතිකඩෙන් ඇල්ගොරිතමවල නිශ්චිත නම් ගෙන, ස්ථාන දරන්නන් ඔබේම අගයන් සමඟ ප්‍රතිස්ථාපනය කරන්න.

සත්‍යාපන පේළි දෙක අනවශ්‍ය නොවේ. PSK සගයා සනාථ කරයි, XAuth කොටස පරිශීලකයා සනාථ කරයි, සහ එකක් ඉවත් කිරීම ද්වාරය අවසන් නොකරන අදියරක් ඉතිරි කරයි.

තවත් ක්ෂේත්‍රයක් වෙනස් කිරීමට පෙර අසාර්ථකත්වය කියවන්න

සංවාදය නැවත අහඹු කිරීම වෙනුවට රෝග ලක්ෂණයෙන් පසුපසට වැඩ කරන්න. වෙන් කළ ලිපිනයක් නොමැතිව ඉහළ එන IKE SA යනු පරිශීලක සත්‍යාපන හුවමාරුව අසාර්ථක වූ බව හෝ කිසිදා ක්‍රියාත්මක නොවූ බවයි, එබැවින් ගිණුම සහ ටෝකන හැසිරවීම පරීක්ෂා කරන්න. කිසිදා අවසන් නොවන 1 වන අදියර යෝජනාව, කණ්ඩායම් හඳුනාගැනීම හෝ ආක්‍රමණශීලී මාදිලිය වෙත යොමු කරයි, සහ ඒවායින් එකක් ගැන වුවද Windows සේවාදායකය සමඟ පමණක් නොව ද්වාරය සමඟ සැසඳේ.

ස්ථාපිත වී පසුව සෑම මිනිත්තු කිහිපයකටම මිය යන උමඟක් යනු දෙකෙළවර අතර මළ සගයා හඳුනාගැනීමේ එකඟතාවයක් නොවීමයි; සෑම තැනකම keepalive අක්‍රීය කිරීම වෙනුවට ද්වාරයේ කාලකය ගලපන්න. ස්ථාපිත උමඟක කාර්යාල සත්කාරක ලඟා විය නොහැකිව පවතී නම්, සාමාන්‍යයෙන් තල්ලු කළ උපජාලය කිසිදා දේශීය මාර්ගගත කිරීමේ වගුවට ආවේ නැති බවයි, එය තෙවන පාර්ශව සේවාදායකයක් තමන්ම නොකරනු ඇත.

අවසන් වූ පසු ක්‍රියාත්මක අගයන් ද්වාරයේ හිමිකරුට ආපසු දෙන්න: ප්‍රොටෝකෝලය, කණ්ඩායම් හඳුනාගැනීම, පෙර-බෙදාගත් යතුර, යෝජනාව, PFS සහ DPD තීරණය. එවිට ඊළඟ Linux යන්ත්‍රය සම්පූර්ණ සවසක් වෙනුවට මිනිත්තු කිහිපයක් ගනී, සහ කණ්ඩායම් නාමය ශුන්‍ය වූ බව නැවත සොයා ගැනීමට කිසිවෙකුට අවශ්‍ය නොවේ.