Ku habee macmiilka VPN ee Linux borotokoolka qalabka hore

Afar qoys oo borotokool ah ayaa daboolaya ku dhawaad qalab kasta oo weli rack ku jira, mid kastaana si kala duwan ayuu ugu guuldarraystaa Linux. Dekadaha la daabacay iyo soo jeedinta la habeeyay ee dhinaca fog ayaa go'aamiya xidhmadaada, ma aha qaybinta aad si kadis ah u socodsiiso. Ku rakibida wixii lagu sheegay boostada shirka kadibna wax ka beddel ilaa wax isku xirmaa waa sida duhurnimo lumo. Akhri qalabka, ku rakib labaad, ku xaqiiji saddexaad.

Diiwaangeli waxa dhinaca fog daabacayo

Qor borotokoolka, dekadaha iyo xaqiijinta qalabku filan yahay ka hor intaadan furin maareeyaha xidhmada. Afar qoys ayaa daboolaya inta badan qalabka hore, shaxda hoose-na waa go'aanka oo dhan hal shaashad.

Buugga tilmaanta iyo xeerarka dab-damiska qalabka laftiisa ayaa ka lagu kalsoonaan karo magaca borotokoolka boggiisa gelitaanka. Qalab ku dhawaaqaya IPsec waxaa laga yaabaa inuu ku hadlo IKEv1 oo keliya, iyo sii-deyn firmware oo aan cidna ku dhaqmin ayaa laga yaabaa inay tahay tan ugu dambayn ku daraysa IKEv2. Xaqiiji wadada xogta iyo dekedda habaynta labadaba, waayo halkan ayaa qalabka hore iyo shabakadaha casriga ah ku kala duwanaadaan. Khalad qaadashada tallaabadan waxay la macno tahay inaad ka hagaajiso macmiilkaaga sifo aan dhinaca kale waligiis lahayn.

PPTP: caddee GRE ka hor intaadan wax ka beddelin pppd

PPTP Linux waxaa ma aha daemon aad bilowdo ee waa wicitaan pppd, xuduudaha isku xirka-na waxay ku nool yihiin fayl peer magac leh oo pppd akhriyo marka la wacayo. Qaybintu wali way duubtaa, in kasta oo daciifnimada la yaqaan ee borotokoolka ay ka dhigto mid aan ku habboonayn wax kasta oo xasaasi ah, sidaas darteed u hay si adag qalab aan wax kale soo bandhigin. La soco GRE inta macmiilku gorgortan wado, iyadoo qabasho gaaban halkii mala-awaal. Guuldarada ugu waqti badan qaadata ma aha xaqiijinta ee waa wadada xogta maqan.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Haddii habaynta dhammaato oo xidhiidhku marna qaadin taraafik, ka shakiyo wadada GRE ka hor intaadan taaban aqoonsiga. Kooxaha amniga daruuraha waxay u baahan yihiin xeer cad oo borotokool 47, shabakadaha qaarna si buuxda ayay u xiraan iyagoon muujin khalad. Ka tijaabi shabakada aad dhab ahaan isticmaalayso, ma aha shaybaadhka wax walba oggolaada.

L2TP/IPsec: hal soo jeedin oo is waafaqsan ayaa ka adkaata toban isku day

Akhri diiwaanka daemon halkii wada-hadalka desktop, waayo wada-hadalku wuxuu isku darayaa dhowr guuldaro oo kala duwan hal fariin. Khaladka NO_PROPOSAL_CHOSEN waxaa uu ka tirsan yahay wejiga koowaad: macmiilku wuxuu soo bandhigay sir-gelin, hash ama koox Diffie-Hellman oo serverku aanu aqbali doonin. Liis ku qor waxa qalabku taageero oo qor hal soo jeedin oo ku habboon, waayo isku-dar aan kala sooc lahayn ayaa inta badan isla khaladka si gaabis ah u bixiya. Desktop-ka macmiilka waxqabadka leh waa plugin NetworkManager L2TP oo hoos yihiin strongSwan ama Libreswan.

Xarig soo jeedin oo hal macne u leh plugin desktop waxaa laga yaabaa inay macne kale u leedahay daemon-ka loo dhiibo shaqada, sidaas darteed haynta halabuurka ku habboon lakabka aad wax ka beddelayso. Haddii qalabku sidoo kale dalbado sirta tunnel, taasi waa weji ka duwan furaha IPsec. Xaqiiji midka labada uu interface-ku weydiinayo ka hor intaadan wax ku qorin.

IKEv1 gardarro leh oo XAuth la socda, iyo kiiska portal

Barta dambe ee qaabka FortiGate badanaa waxay rabtaa hab gardarro leh oo XAuth la socda iyo cinwaan hab la habeeyay, taas oo laga yaabo in plugin garaafku aanu haba yidhin. Daemon-ka asalka ah ayaa maareeya, blooka hoose-na waa qaabka habayntaas, ma aha fayl buuxa. Eeg dukumeentiga casriga ah ee soo-saaraha ee qiyamka soo jeedinta.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Sii-deynnada strongSwan ee hore waxay isticmaali jireen xauth=client halka nooca 5 uu isticmaalo leftauth2=xauth, sidaas darteed qayb la koobiyeeyay waxay ku guuldaraysan kartaa halabuurka oo keliya. Portal TLS ah, openconnect oo ku hadla borotokoolka AnyConnect ayaa maareeya Cisco iyo inta badan summada dib loo magacaabay, wuxuuna u baahan yahay qalab TUN iyo awoodaha lagu habeeyo. Gudbi cinwaanka portal-ka sida uun ee browser-ku muujinayo, oo ay ku jirto wadada qalabku filan yahay, kadib hubi cinwaanka la qoondeeyay ka hor intaadan wax ka tijaabin gadaashiisa. Abuurista interface-ka horay ka qaadista hal nooc oo yaab ah inta lagu jiro habaynta.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Isku xidh, kadib ku xaqiiji nidaam go'an

Socodsi hal maareeye VPN oo saxan mar kasta, waayo profile NetworkManager iyo daemon gacan lagu bilaabay ayaa ku murmi doona wadooyinka iyo DNS. Hoos u dhig profile-ka ka hor intaadan tijaabin isku xir gacan, oo xaqiiji in aanu jirin interface tunnel duug ah oo sii noolaa. Kadib ku xaqiiji nidaamkan: cinwaanka tunnel-ka, wadada loo maro hal host gudaha oo aad u baahan tahay, xallinta magacyada, iyo ugu dambayn codsi dhab ah. Calaamad cagaar ah waxay caddaynaysaa xaqiijinta oo wax kale ma aha.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Haddii tallaabo guuldarraysto, halkaas ku joog halkii aad tijaabin lahayd tan xigta, waayo guuldarada DNS ee hoos timaada wado jaban waxba kuma barayso. Kaydi nuqul profile shaqeeya ka hor intaadan tijaabin, waayo fayl isku xir la tirtiray si fudud ayaa lumo oo way adag tahay dib u dhiskiisa. Hay qiyamka soo jeedinta isla qoraalka ah ee ay la socdaan nooca qalabka iyo nooca firmware, waayo qoraalkaas ayaa ah farqiga u dhexeeya guuritaan iyo mashruuc qadiimiga ah marka sanduuqa la beddelo.