FortiGate IPsec në Linux: cili klient lidhet në të vërtetë

Kolegu juaj në Windows importon një profil të magjistarit FortiGate dhe është online për një minutë. Ju instaloni të njëjtin paketë të furnizuesit në Ubuntu, kërkoni një skedë IPsec dhe gjeni një klient që di vetëm të hapë një SSL VPN. Përfundimi që vijon zakonisht është i gabuar dy herë: porta nuk po ju refuzon dhe ndërtimi i Linux-it nuk është prishur. Fortinet e dërgon atë klient vetëm me mbështetje SSL VPN, kështu që një profil IPsec mobil nuk ka ku të jetojë dhe duhet rindërtuar diku ku flitet IKEv1.

Së pari, vendosni cilin protokoll ju është dhënë në të vërtetë

Ai rindërtim është mekanik sapo të ndaloni ta trajtoni klientin e furnizuesit si implementimin e referencës.

Pajisjet FortiGate publikojnë si SSL VPN ashtu edhe IPsec, dhe emaili i dorëzimit rrallë thotë cili ju është dhënë. Një URL portali plus një faqe hyrjeje në stil shfletuesi do të thotë SSL VPN, dhe në Linux përgjigjja atje është openfortivpn, jo hartëzimi i fushave më poshtë. Një identifikues grupi plus një çelës i ndarë paraprakisht do të thotë IPsec mobil, të cilin e trajtojnë vpnc dhe strongSwan.

Ta bësh gabim këtë është arsyeja më e zakonshme që një përpjekje në Linux vdes para se faza e parë të përfundojë: klienti po i ofron IKEv1 një portali HTTPS ose anasjelltas. Kërkojini administratorit emrin e protokollit me shkrim përpara se të instaloni gjithçka.

Katër kredenciale udhëtojnë në katër fusha të ndryshme

Fjala password shfaqet dy herë në shumicën e dorëzimeve dhe do të thotë dy gjëra të ndryshme. Çelësi i ndarë paraprakisht vërteton vetë partnerin dhe është një sekret makine që administratori e lexon nga konfigurimi i portës. Fjalëkalimi i llogarisë tuaj është një kredencial i veçantë që provon cili njeri qëndron pas atij partneri.

Dy vlerat e tjera humbasin më lehtë. Identifikuesi i grupit është vargu që magjistari shkruajti në objektin e grupit IPsec, dhe 0 është një vlerë e ligjshme, jo një fushë bosh. Propozimi mbulon kriptimin, hashimin dhe një grup Diffie-Hellman për çdo fazë, plus cilësimin PFS, dhe çdo element në të duhet të përputhet me portën. Kur një lidhje dështon në fazën 1, pothuajse gjithmonë fajtori është një nga ata katër, prandaj shkruajini veçmas në vend që t'i hidhni në një dialog të vetëm.

Çfarë duhet të përmbajë çdo fushë e vpnc

Instaloni klientin bashkë me ndërfaqen e redaktuesit, pastaj krijoni një lidhje VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Vendosni portën në adresën publike të FortiGate dhe emrin e grupit saktësisht në identifikuesin nga porta, duke përfshirë një zero të zhveshur. Group password merr çelësin e ndarë paraprakisht, ndërsa emri i përdoruesit dhe fjalëkalimi marrin llogarinë tuaj, me çdo token të shtuar siç pret porta. Në dialogun e avancuar, zgjidhni grupin Diffie-Hellman që emërton propozimi, përputhni PFS me të njëjtin grup, aktivizoni kalimin NAT kur klienti është pas një routeri shtëpiak dhe lini zbulimin e partnerit të vdekur në të njëjtin hap me portën.

Emri i grupit është fusha që anashkalohet, sepse duket opsional dhe zeroja e paracaktuar ngjan me një vendmbajtës. Dërgojeni bosh dhe klienti transmeton një identifikues tjetër nga ai që vërteton porta. Nëse profili vazhdon të dështojë, krahasoni vlerat e avancuara me klientin Windows që funksionon dhe jo me një postim forumi për një sajt tjetër.

I njëjti profil i shkruar për strongSwan

strongSwan është ena më e mirë afatgjatë për këto vlera, pasi konfigurimi është një skedar teksti që mund ta shqyrtoni dhe ta ruani:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Lexoni rreshtat e propozimit përpara bllokut, sepse pikëçuditja në fund ndryshon kuptimin e tyre: fikson pikërisht atë propozim dhe heq alternativat që klienti do të ofronte ndryshe. Një portë e konfiguruar për një palë transformimesh do të refuzojë një klient që hapet me një listë, prandaj fiksimi është ai që e kthen negociatën në përputhje. Merrni emrat e saktë të algoritmeve nga profili i portës që funksionon dhe zëvendësoni vendmbajtësit me vlerat tuaja.

Dy rreshtat e vërtetimit nuk janë të tepërt. PSK vërteton partnerin, blloku XAuth vërteton përdoruesin, dhe heqja e cilësdo lë një fazë që porta nuk do ta përfundojë.

Lexoni dështimin përpara se të ndryshoni një fushë tjetër

Punoni mbrapsht nga simptoma në vend që ta rastësoni dialogun përsëri. Një IKE SA që ngrihet pa adresë të caktuar do të thotë që shkëmbimi i vërtetimit të përdoruesit dështoi ose nuk u ekzekutua kurrë, prandaj kontrolloni llogarinë dhe trajtimin e tokenit. Një fazë 1 që nuk përfundon kurrë tregon propozimin, identifikuesin e grupit ose modalitetin agresiv, dhe secili prej tyre krahasohet me portën, jo vetëm me klientin Windows.

Një tunel që vendoset dhe pastaj vdes çdo pak minutash është një mospajtim për zbulimin e partnerit të vdekur midis dy skajeve; përputhni kohëmatësin e portës në vend që të çaktivizoni keepalive kudo. Një tunel i vendosur ku hostet e zyrës mbeten të paarritshme zakonisht do të thotë që nënrrjeti i shtyrë nuk arriti kurrë në tabelën lokale të rrugëzimit, gjë që një klient i palës së tretë mund të mos e bëjë vetë.

Kur të mbaroni, ktheni vlerat që funksionojnë te pronari i portës: protokolli, identifikuesi i grupit, çelësi i ndarë paraprakisht, propozimi, PFS dhe vendimi për DPD. Atëherë makina tjetër Linux merr minuta në vend të një mbrëmjeje, dhe askush nuk duhet të rizbulojë që emri i grupit ishte zero.