Prilagodite odjemalca VPN za Linux protokolu stare naprave

Štiri družine protokolov pokrivajo skoraj vsako napravo, ki še stoji v racku, in vsaka na Linuxu odpove drugače. Objavljena vrata in nastavljeni predlogi druge strani odločajo o vašem paketu, ne distribucija, ki jo slučajno poganjate. Namestiti, kar omenja objava na forumu, in nato urejati, dokler se nekaj ne poveže, je način, kako izgine popoldne. Preberite napravo, namestite kot drugo, preverite kot tretje.

Zapišite, kaj objavlja druga stran

Preden odprete upravitelj paketov, zapišite protokol, vrata in preverjanje pristnosti, ki jih naprava pričakuje. Štiri družine pokrivajo večino stare opreme, tabela spodaj pa je celotna odločitev na enem zaslonu.

Priročnik in lastna pravila požarnega zidu naprave so zanesljivejša od imena protokola na njeni prijavni strani. Naprava, ki oglašuje IPsec, morda govori samo IKEv1, izdaja vdelane programske opreme, ki je nihče ni uporabil, pa je morda tista, ki nazadnje doda IKEv2. Potrdite tako pot podatkov kot vrata za nastavitev, ker se prav tu stara oprema in sodobna omrežja razhajajo. Zmotiti se pri tem koraku pomeni odpravljati napake v odjemalcu proti funkciji, ki je druga stran ni imela nikoli.

PPTP: dokažite GRE, preden uredite pppd

PPTP na Linuxu ni demon, ki ga zaženete, ampak klic pppd, in parametri povezave živijo v imenovani datoteki peer, ki jo pppd prebere, ko je klican. Distribucije ga še vedno pakirajo, čeprav znane slabosti protokola naredijo neprimernega za karkoli občutljivega, zato ga strogo hranite za napravo, ki ne ponuja ničesar drugega. Opazujte GRE, medtem ko se odjemalec pogaja, s kratkim zajemom namesto ugibanja. Napaka, ki porabi največ časa, ni preverjanje pristnosti, ampak manjkajoča pot podatkov.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Če se nastavitev konča in povezava nikoli ne prenaša prometa, posumite na pot GRE, preden se dotaknete poverilnic. Skupine za varnost v oblaku potrebujejo izrecno pravilo za protokol 47, nekatera omrežja pa ga v celoti blokirajo brez vidne napake. Preizkusite iz omrežja, ki ga boste resnično uporabili, ne iz laboratorija, ki dovoli vse.

L2TP/IPsec: en ustrezen predlog premaga deset poskusov

Berite dnevnik demona, ne pogovornega okna na namizju, ker okno združi več različnih napak v eno sporočilo. Napaka NO_PROPOSAL_CHOSEN spada v prvo fazo: odjemalec je ponudil šifriranje, zgoščeno vrednost ali skupino Diffie-Hellman, ki je strežnik ne bo sprejel. Naštejte, kaj naprava podpira, in napišite en ustrezen predlog, ker naključne kombinacije ponavadi dajo isto napako počasneje. Na namizju je praktični odjemalec vtičnik NetworkManager L2TP s strongSwan ali Libreswan pod njim.

Niz predloga, ki za namizni vtičnik pomeni eno, lahko za demona, ki mu preda delo, pomeni nekaj drugega, zato ohranite sintakso primerno plasti, ki jo urejate. Če naprava zahteva tudi skrivnost tunela, je to ločena stopnja od ključa IPsec. Potrdite, po katerem od obeh sprašuje vmesnik, preden vanj kaj vtipkate.

Agresivni IKEv1 s XAuth in primer portala

Končna točka v slogu FortiGate običajno želi agresivni način s XAuth in naslov v konfiguriranem načinu, česar grafični vtičnik morda sploh ne pokaže. Domači demon to obvlada, blok spodaj pa je oblika te konfiguracije, ne celotna datoteka. Za vrednosti predloga preverite aktualno dokumentacijo proizvajalca.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Starejše izdaje strongSwan so uporabljale xauth=client tam, kjer različica 5 uporablja leftauth2=xauth, zato lahko kopiran odlomek odpove že zaradi sintakse. Za portal TLS openconnect, ki govori protokol AnyConnect, obvlada Cisco in večino preimenovanih blagovnih znamk, in potrebuje napravo TUN ter pravice za njeno konfiguracijo. Posredujte naslov portala natanko tako, kot ga prikaže brskalnik, vključno s katero koli potjo, ki jo naprava pričakuje, nato preverite dodeljeni naslov, preden karkoli za njim preizkusite. Če vmesnik ustvarite vnaprej, odstranite en razred presenečenj med nastavitvijo.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Povežite se, nato preverite v določenem vrstnem redu

Hkrati poganjajte natanko enega upravitelja VPN, ker se bosta profil NetworkManager in ročno zagnani demon borila za poti in DNS. Pred preizkušanjem ročne povezave spustite profil in potrdite, da ni preživel noben star vmesnik tunela. Nato preverite v tem vrstnem redu: naslov tunela, pot do edinega notranjega gostitelja, ki ga potrebujete, razreševanje imen in nazadnje resnična zahteva. Zelena ikona dokazuje preverjanje pristnosti in nič drugega.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Če kateri korak spodleti, se ustavite tam, namesto da preizkusite naslednjega, ker napaka DNS pod zlomljeno potjo vas ničesar ne nauči. Preden eksperimentirate, shranite kopijo delujočega profila, ker izbrisana datoteka povezave se zlahka izgubi in jo je težavno obnoviti. Vrednosti predloga hranite v isti zabeležki kot model naprave in različico vdelane programske opreme, ker je ta zabeležka razlika med selitvijo in arheološkim projektom, ko škatlo zamenjajo.