FortiGate IPsec na Linuxe: ktorý klient sa skutočne pripojí

Linuxový klient od výrobcu hovorí len SSL VPN. Mobilný profil IPsec treba znovu postaviť vo vpnc alebo strongSwane a štyri polia musia zodpovedať bráne.

Váš kolega na Windows importuje profil z sprievodcu FortiGate a do minúty je online. Vy nainštalujete ten istý balík výrobcu na Ubuntu, hľadáte kartu IPsec a nájdete klienta, ktorý vie len otvoriť SSL VPN portál. Záver, ktorý z toho plynie, býva dvakrát nesprávny: brána vás neodmieta a zostavenie pre Linux nie je pokazené. Fortinet dodáva tohto klienta iba s podporou SSL VPN, takže mobilný profil IPsec nemá kde žiť a musí sa znova postaviť tam, kde sa hovorí IKEv1.

Najprv zistite, aký protokol ste vlastne dostali

Táto prestavba je mechanická, len čo prestanete považovať klientsky softvér výrobcu za referenčnú implementáciu.

Zariadenia FortiGate publikujú SSL VPN aj IPsec a e-mail s odovzdaním málokedy povie, ktorý vám pridelili. URL portálu plus prihlasovacia stránka v štýle prehliadača znamená SSL VPN a na Linuxe je tam odpoveďou openfortivpn, nie mapovanie polí nižšie. Identifikátor skupiny plus predzdieľaný kľúč znamená mobilný IPsec, čo zvládajú vpnc a strongSwan.

Pomýliť si to je najčastejší dôvod, prečo linuxový pokus zomrie skôr, než sa prvá fáza dokončí: klient ponúka IKEv1 portálu HTTPS alebo naopak. Skôr, než čokoľvek nainštalujete, vyžiadajte si od správcu názov protokolu písomne.

Štyri údaje cestujú v štyroch rôznych poliach

Slovo password sa vo väčšine odovzdaní objavuje dvakrát a znamená dve rôzne veci. Predzdieľaný kľúč overuje samotný protiuzol a je to strojové tajomstvo, ktoré správca číta z konfigurácie brány. Heslo vášho účtu je samostatný údaj, ktorý dokazuje, ktorý človek stojí za tým protiuzlom.

Ďalšie dve hodnoty sa prehliadnu ľahšie. Identifikátor skupiny je reťazec, ktorý sprievodca zapísal do objektu skupiny IPsec, a 0 je legitímna hodnota, nie prázdne pole. Návrh pokrýva šifrovanie, hashovanie a skupinu Diffie-Hellman pre každú fázu, plus nastavenie PFS, a každá jeho položka sa musí zhodovať s bránou. Keď spojenie zlyhá vo fáze 1, takmer vždy je vinníkom jedna z tých štyroch, preto si ich zapisujte zvlášť, namiesto toho, aby ste ich nahádzali do jedného dialógu.

Čo musí obsahovať každé pole vpnc

Nainštalujte klienta spolu s editorom a potom vytvorte pripojenie VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Nastavte bránu na verejnú adresu FortiGate a názov skupiny presne na identifikátor z brány, vrátane holej nuly. Group password preberá predzdieľaný kľúč, zatiaľ čo používateľské meno a heslo preberajú váš účet, s prípadným tokenom pridaným tak, ako brána očakáva. V rozšírenom dialógu vyberte skupinu Diffie-Hellman, ktorú návrh uvádza, zlaďte PFS s tou istou skupinou, zapnite priechod NAT, keď je klient za domácim routerom, a nechajte detekciu mŕtveho protiuzla v kroku s bránou.

Názov skupiny je pole, ktoré sa preskakuje, pretože vyzerá voliteľne a predvolená nula pripomína zástupný symbol. Pošlite ho prázdne a klient prenesie iný identifikátor, než aký brána overuje. Ak profil stále zlyháva, porovnajte rozšírené hodnoty s funkčným klientom pre Windows, nie s príspevkom na fóre pre inú lokalitu.

Ten istý profil napísaný pre strongSwan

strongSwan je lepší dlhodobý kontajner pre tieto hodnoty, pretože konfigurácia je textový súbor, ktorý si môžete prejsť a uchovať:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Prečítajte si riadky návrhu pred blokom, pretože výkričník na konci mení ich význam: pripína práve tento jeden návrh a odstraňuje alternatívy, ktoré by klient inak ponúkol. Brána nakonfigurovaná pre jednu dvojicu transformácií odmietne klienta, ktorý sa otvára zoznamom, takže práve pripnutie mení vyjednávanie na zhodu. Vezmite presné názvy algoritmov z funkčného profilu brány a zástupné symboly nahraďte svojimi hodnotami.

Dva riadky overovania nie sú nadbytočné. PSK dokazuje protiuzol, blok XAuth dokazuje používateľa a vynechanie ktoréhokoľvek z nich zanechá fázu, ktorú brána nedokončí.

Prečítajte si zlyhanie, než zmeníte ďalšie pole

Postupujte od príznaku späť, namiesto toho, aby ste dialóg znovu znáhodňovali. IKE SA, ktorý vstane bez pridelenej adresy, znamená, že výmena overenia používateľa zlyhala alebo nikdy neprebehla, tak skontrolujte účet a prácu s tokenom. Fáza 1, ktorá sa nikdy neskončí, ukazuje na návrh, identifikátor skupiny alebo agresívny režim a každý z nich sa porovnáva s bránou, nie len s klientom pre Windows.

Tunel, ktorý sa nadviaže a potom každých pár minút zomrie, je nezhoda v detekcii mŕtveho protiuzla medzi oboma koncami; zlaďte časovač brány, namiesto toho, aby ste keepalive vypínali všade. Nadviazaný tunel, kde kancelárske hostiteľské systémy zostávajú nedostupné, zvyčajne znamená, že pretlačená podsieti sa nikdy nedostala do miestnej smerovacej tabuľky, čo klientsky softvér tretej strany sám nemusí urobiť.

Keď skončíte, odovzdajte funkčné hodnoty vlastníkovi brány: protokol, identifikátor skupiny, predzdieľaný kľúč, návrh, PFS a rozhodnutie o DPD. Ďalší linuxový stroj potom zaberie minúty namiesto večera a nikto nemusí znovu objavovať, že názov skupiny bola nula.

Súvisiace články