FortiGate IPsec v Linuxu: kateri odjemalec se res poveže

Vaš kolega s sistema Windows uvozi profil čarovnika FortiGate in je čez minuto povezan. Vi namestite isti paket ponudnika na Ubuntu, iščete zavihek IPsec in najdete odjemalca, ki zna odpreti le SSL VPN portal. Sklep, ki sledi, je običajno dvakrat napačen: prehod vas ne zavrača in gradnja za Linux ni pokvarjena. Fortinet dobavlja tega odjemalca le s podporo SSL VPN, zato mobilni profil IPsec nima kje živeti in ga je treba znova zgraditi tam, kjer govorijo IKEv1.

Najprej ugotovite, kateri protokol ste v resnici dobili

Ta obnova je mehanska, ko prenehate obravnavati odjemalca ponudnika kot referenčno izvedbo.

Naprave FortiGate objavljajo tako SSL VPN kot IPsec, e-pošta ob predaji pa redko pove, kateri vam je bil dodeljen. URL portala in prijavna stran v slogu brskalnika pomenita SSL VPN, na Linuxu pa je tam odgovor openfortivpn, ne preslikava polj spodaj. Identifikator skupine in vnaprej deljeni ključ pomenita mobilni IPsec, kar obvladujeta vpnc in strongSwan.

Napačna presoja je najpogostejši razlog, da poskus na Linuxu umre, preden se prva faza konča: odjemalec ponuja IKEv1 portalu HTTPS ali obratno. Preden karkoli namestite, prosite skrbnika za ime protokola v pisni obliki.

Štiri poverilnice potujejo v štirih različnih poljih

Beseda password se v večini predaj pojavi dvakrat in pomeni dve različni stvari. Vnaprej deljeni ključ overi samega nasprotnega partnerja in je strojna skrivnost, ki jo skrbnik prebere iz konfiguracije prehoda. Geslo vašega računa je ločena poverilnica, ki dokazuje, kateri človek stoji za tem partnerjem.

Drugi dve vrednosti je lažje spregledati. Identifikator skupine je niz, ki ga je čarovnik zapisal v objekt skupine IPsec, in 0 je zakonita vrednost, ne prazno polje. Predlog pokriva šifriranje, zgoščevanje in skupino Diffie-Hellman za vsako fazo ter nastavitev PFS, in vsaka njegova postavka se mora ujemati s prehodom. Ko povezava v fazi 1 ne uspe, je skoraj vedno krivec eden od teh štirih, zato jih zapisujte ločeno, namesto da jih strpate v eno pogovorno okno.

Kaj mora vsebovati vsako polje vpnc

Namestite odjemalca skupaj z urejevalnikom in nato ustvarite povezavo VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Nastavite prehod na javni naslov FortiGate in ime skupine natanko na identifikator iz prehoda, vključno z golo ničlo. Group password prevzame vnaprej deljeni ključ, medtem ko uporabniško ime in geslo prevzameta vaš račun, z morebitnim žetonom, dodanim tako, kot pričakuje prehod. V naprednem pogovornem oknu izberite skupino Diffie-Hellman, ki jo navaja predlog, uskladite PFS z isto skupino, omogočite prehod NAT, ko je odjemalec za domačim usmerjevalnikom, in pustite zaznavanje mrtvega partnerja v koraku s prehodom.

Ime skupine je polje, ki se preskoči, ker je videti neobvezno in privzeta ničla spominja na nadomestni znak. Pošljite ga praznega in odjemalec prenese drugačen identifikator od tistega, ki ga preverja prehod. Če profil še vedno ne uspe, primerjajte napredne vrednosti z delujočim odjemalcem za Windows, ne z objavo na forumu za drugo mesto.

Isti profil, napisan za strongSwan

strongSwan je boljša dolgoročna posoda za te vrednosti, saj je konfiguracija besedilna datoteka, ki jo lahko pregledate in shranite:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Preberite vrstice predloga pred blokom, ker klicaj na koncu spremeni njihov pomen: pripne natanko ta predlog in odstrani alternative, ki bi jih odjemalec sicer ponudil. Prehod, konfiguriran za en par transformacij, bo zavrnil odjemalca, ki se odpre s seznamom, zato prav pripenjanje spremeni pogajanja v ujemanje. Vzemite točna imena algoritmov iz delujočega profila prehoda in nadomestne znake zamenjajte s svojimi vrednostmi.

Dve vrstici preverjanja nista odveč. PSK dokaže partnerja, blok XAuth dokaže uporabnika, in če katero od njiju izpustite, ostane faza, ki je prehod ne bo dokončal.

Preberite napako, preden spremenite še eno polje

Delajte vzvratno od simptoma, namesto da bi pogovorno okno znova naključno spreminjali. IKE SA, ki se dvigne brez dodeljenega naslova, pomeni, da je izmenjava preverjanja uporabnika spodletela ali se ni nikoli izvedla, zato preverite račun in ravnanje z žetonom. Faza 1, ki se nikoli ne konča, kaže na predlog, identifikator skupine ali agresivni način, in vsak od njih se primerja s prehodom, ne le z odjemalcem za Windows.

Predor, ki se vzpostavi in nato vsakih nekaj minut umre, je nesoglasje o zaznavanju mrtvega partnerja med obema koncema; uskladite časovnik prehoda, namesto da bi keepalive izklopili povsod. Vzpostavljen predor, v katerem ostajajo pisarniški gostitelji nedosegljivi, običajno pomeni, da potisnjena podomrežje nikoli ni prispelo v lokalno usmerjevalno tabelo, česar odjemalec tretje strani morda ne stori sam.

Ko končate, predajte delujoče vrednosti lastniku prehoda: protokol, identifikator skupine, vnaprej deljeni ključ, predlog, PFS in odločitev o DPD. Naslednji linuxov stroj bo takrat potreboval minute namesto večera in nihče ne bo moral znova odkriti, da je ime skupine bilo nič.