FortiGate IPsec Linux: macmiilkee ayaa dhab ahaan isku xira

Saaxiibkaa Windows wuxuu soo geliyaa profile-ka farsamaha FortiGate wuxuuna online noqdaa hal daqiiqo gudahood. Adigu waxaad Ubuntu ku rakibtaa isla xirmada alaab-qeybiyaha, waxaad raadisaa tab IPsec, waxaadna heshaa macmiil keliya oo yaqaan inuu furo SSL VPN portal. Gabagabada ku xigta badanaa waa khalad laba jeer: albaabku kuma diidayo, dhismaha Linux-na ma uusan jabin. Fortinet wuxuu macmiilkaas u diraa kaliya taageerada SSL VPN, sidaas darteed profile IPsec mobil ma haysto meel uu ku noolaado waana in dib loogu dhisaa meel IKEv1 lagaga hadlo.

Marka hore go'aanso nooca borotokool ee dhab ahaan laguu siiyay

Dib-u-dhiskaas waa farsamo markaad joojiso u-tixgelinta macmiilka alaab-qeybiyaha sidii hirgelinta tixraaca.

Qalabka FortiGate waxay daabacaan SSL VPN iyo IPsec labadaba, iimaylka wareejintuna marar dhif ah ayuu sheegaa kee laguu siiyay. URL portal oo ay la socoto bogag gelitaan qaab browser ah macneheedu waa SSL VPN, Linux-na jawaabta halkaas waa openfortivpn, ma aha khariidadda beeraha hoose. Aqoonsiga kooxda oo ay la socoto fure horay loo wadaagay macneheedu waa IPsec mobil, taas oo vpnc iyo strongSwan maareeyaan.

Khaladkan sameeyaa waa sababta ugu badan ee isku-dayga Linux u dhinto ka hor inta aan marxaladda koowaad dhammaanin: macmiilku wuxuu portal HTTPS u soo bandhigayaa IKEv1 ama taa lidkeeda. Ka codso maamulaha magaca borotokoolka qoraal ahaan ka hor inta aanad wax rakibin.

Afar aqoonsi ayaa ku safra afar beerood oo kala duwan

Erayga password wuxuu ku soo noqdaa laba jeer wareejinta badankeeda wuxuuna macneeyaa laba shay oo kala duwan. Furaha horay loo wadaagay wuxuu xaqiijiyaa saaxiibka laftiisa, waa sir mashiin oo maamuluhu ka akhriyo habaynta albaabka. Furaha sirta ee akoonkaaga waa aqoonsi gooni ah oo caddeeya qofka ka dambeeya saaxiibkaas.

Laba qiime oo kale ayaa ka fudud in la seegto. Aqoonsiga kooxdu waa xarigga farsamuhu ku qoray shayga kooxda IPsec, 0-na waa qiime sharci ah ma aha beer madhan. Soo-jeedintu waxay daboolaysaa sireyn, hash iyo koox Diffie-Hellman marxalad kasta, iyo dejinta PFS, oo qayb kasta oo ka mid ah waa inay la timaaddo albaabka. Marka xiriirku ku guuldareysto marxaladda 1, casi waa mid ka mid ah afartaas ayaa dembiga leh, sidaas darteed si gooni ah u qor halkii aad ku tuuri lahayd hal wada-hadal.

Maxaa beer kasta oo vpnc ah ay tahay inuu ka koobnaado

Ku rakib macmiilka oo ay la socoto interface-ka tafatiraha, ka dibna samee xiriir VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Albaabka u dhig ciwaanka dadweynaha FortiGate, magaca kooxdana si sax ah ugu dhig aqoonsiga albaabka, oo ay ku jirto eber qaawan. Group password wuxuu qaataa furaha horay loo wadaagay, halka magaca isticmaalaha iyo furaha sirta ay qaataan akoonkaaga, token kasta oo lagu daray sida albaabku filayo. Wada-hadalka sare, dooro kooxda Diffie-Hellman ee soo-jeedintu sheegto, PFS la jaan-qaad kooxdaas, shid marinka NAT marka macmiilku ku jiro gadaasha router guri, oo ka tag ogaanshaha saaxiibka dhintay isla tallaabo la mid ah albaabka.

Magaca kooxdu waa beerta la boodaa, sababtoo ah wuxuu u muuqdaa ikhtiyaari oo eberka caadiga ah wuxuu u eg yahay meel-hayste. Si madhan u dir oo macmiilku wuxuu gudbiyaa aqoonsi ka duwan kan albaabku xaqiijiyo. Haddii profile-ku wali guuldareysto, isbarbar dhig qiimaha sare macmiilka Windows ee shaqeeya ee ha la barbar dhigin post forum ee site kale.

Isla profile-kaas oo loo qoray strongSwan

strongSwan waa weelka muddada-dheer ee ka wanaagsan qiimayaashan, maadaama habayntu tahay fayl qoraal ah oo aad dib u eegi karto oo hayn karto:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Akhri sadarrada soo-jeedinta ka hor block-ka, sababtoo ah calaamadda yaabka ee dhammaadka waxay beddeshaa macnahooda: waxay dhejiyaa hal soo-jeedin oo ka saartaa beddellada macmiilku haddii kale soo bandhigi lahaa. Albaab loo habeeyay hal lammaane beddelaad ayaa diidi doona macmiil ku furma liis, sidaas darteed dhejintu waa tan beddesha gorgortanka isku-dhac. Ka qaado magacyada algorithm-ka saxda ah profile-ka albaabka shaqeeya, oo ku beddel meel-haystayaasha qiimayaashaada.

Laba sadar oo xaqiijin ma aha mid dheeraad ah. PSK waxay caddeeysaa saaxiibka, block XAuth waxay caddeeysaa isticmaalaha, oo midkoodna haddii la tago waxaa haray marxalad albaabku aanu dhammaystirin.

Akhri guuldarada ka hor inta aanad beddelin beer kale

Ka shaqee calaamadda laga soo celiyo halkii aad dib u random-gelin lahayd wada-hadalka. IKE SA oo soo baxa isagoo aan la haysan cinwaan la qoondeeyay macneheedu waa is-dhaafsiga xaqiijinta isticmaalaha wuu guuldareystay ama waligiis ma socon, sidaas darteed hubi akoonka iyo maaraynta token-ka. Marxaladda 1 ee waligeed dhammaanayn waxay tilmaantaa soo-jeedinta, aqoonsiga kooxda ama habka gardarrada, oo mid kasta oo ka mid ah waxaa lala barbar dhigaa albaabka, ma aha kaliya macmiilka Windows.

Tunnel-ka la aasaaso kadibna dhinta dhawr daqiiqo kasta waa khilaaf ku saabsan ogaanshaha saaxiibka dhintay oo u dhexeeya labada daraf; la jaan-qaad timer-ka albaabka halkii aad ka damin lahayd keepalive meel kasta. Tunnel la aasaasay oo martigeliyayaasha xafiisku aan la gaari karin macneheedu badanaa waa in subnet-ka la riixay uusan waligiis gelin shaxda waddada maxalliga ah, taas oo macmiil dhinac saddexaad laga yaabo inuusan keligiis samayn.

Markaad dhammeystirto, ku celi qiimayaasha shaqeeya milkiilaha albaabka: borotokool, aqoonsiga kooxda, furaha horay loo wadaagay, soo-jeedinta, PFS iyo go'aanka DPD. Markaas mashiinka Linux ee xiga wuxuu qaadan doonaa daqiiqado halkii uu qaadan lahaa fiid, oo qofna uma baahna inuu dib u ogaado in magaca kooxdu eber ahaa.