Përshtatni klientin VPN të Linux me protokollin e pajisjes së vjetër

Katër familje protokollesh mbulojnë pothuajse çdo pajisje që qëndron ende në raft, dhe secila dështon ndryshe në Linux. Portat e publikuara dhe propozimet e konfiguruara të skajit të largët përcaktojnë paketën tuaj, jo distribucioni që ekzekutoni rastësisht. Të instalosh atë që përmend një postim forumi dhe pastaj të editosh derisa diçka të lidhet është mënyra si humbet një pasdite. Lexoni pajisjen, instaloni i dyti, verifikoni i treti.

Shkruani çfarë publikon skaji i largët

Shkruani protokollin, portat dhe autentikimin që pret pajisja përpara se të hapni një menaxher paketash. Katër familje mbulojnë pjesën më të madhe të pajisjeve të vjetra, dhe tabela më poshtë është i gjithë vendimi në një ekran.

Manuali dhe rregullat e firewall-it të vetë pajisjes janë më të besueshme se emri i protokollit në faqen e saj të hyrjes. Një pajisje që reklamon IPsec mund të flasë vetëm IKEv1, dhe një version firmware që askush nuk e ka aplikuar mund të jetë ai që në fund shton IKEv2. Konfirmoni si rrugën e të dhënave ashtu edhe portën e konfigurimit, sepse pikërisht aty ndryshojnë pajisjet e vjetra dhe rrjetet moderne. Të gabosh në këtë hap do të thotë të korrigjosh klientin kundrejt një funksioni që skaji tjetër nuk e ka pasur kurrë.

PPTP: vërtetoni GRE përpara se të editoni pppd

PPTP në Linux nuk është një daemon që nisni, por një thirrje pppd, dhe parametrat e lidhjes jetojnë në një skedar peer të emërtuar që pppd lexon kur thirret. Shpërndarjet ende e paketojnë, ndonëse dobësitë e njohura të protokollit e bëjnë të papërshtatshëm për çdo gjë të ndjeshme, prandaj mbajeni rreptësisht për një pajisje që nuk ofron asgjë tjetër. Vëzhgoni GRE ndërsa klienti negocion, me një regjistrim të shkurtër në vend të një supozimi. Dështimi që humb më shumë kohë nuk është autentikimi, por rruga e të dhënave që mungon.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Nëse konfigurimi përfundon dhe lidhja nuk mbart kurrë trafik, dyshoni rrugën GRE përpara se të prekni kredencialet. Grupet e sigurisë në re kanë nevojë për një rregull të qartë për protokollin 47, dhe disa rrjete e bllokojnë plotësisht pa një gabim të dukshëm. Testoni nga rrjeti që do të përdorni vërtet, jo nga një laborator që lejon gjithçka.

L2TP/IPsec: një propozim që përputhet mund dhjetë tentativa

Lexoni logun e daemonit në vend të dialogut të desktopit, sepse dialogu bashkon disa dështime të ndryshme në një mesazh të vetëm. Gabimi NO_PROPOSAL_CHOSEN i përket fazës së parë: klienti ofroi një kriptim, hash ose grup Diffie-Hellman që serveri nuk do ta pranojë. Listoni çfarë mbështet pajisja dhe shkruani një propozim që përputhet, sepse kombinimet e rastësishme zakonisht japin të njëjtin gabim më ngadalë. Në një desktop, klienti praktik është shtojca NetworkManager L2TP me strongSwan ose Libreswan poshtë saj.

Një varg propozimi që për një shtojcë desktopi do të thotë një gjë, për daemonin të cilit i dorëzon punën mund të thotë diçka tjetër, prandaj mbani sintaksën të përshtatshme për shtresën që editoni. Nëse pajisja kërkon edhe një sekret tuneli, ai është një fazë e veçantë nga çelësi IPsec. Konfirmoni për cilin prej të dyve po pyet ndërfaqja përpara se të shkruani çdo gjë në të.

IKEv1 agresiv me XAuth, dhe rasti i portalit

Një pikë fundore në stilin FortiGate zakonisht kërkon modalitet agresiv me XAuth dhe një adresë në modalitetin e konfiguruar, të cilën një shtojcë grafike mund të mos e shfaqë fare. Daemoni amtare e trajton atë, dhe blloku më poshtë është forma e asaj konfigurimi, jo një skedar i plotë. Konsultoni dokumentacionin aktual të prodhuesit për vlerat e propozimit.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Versionet më të vjetra të strongSwan përdornin xauth=client aty ku versioni 5 përdor leftauth2=xauth, kështu që një fragment i kopjuar mund të dështojë vetëm për shkak të sintaksës. Për një portal TLS, openconnect që flet protokollin AnyConnect trajton Cisco dhe shumicën e markave të riemërtuara, dhe kërkon një pajisje TUN plus privilegjet për ta konfiguruar. Kaloni adresën e portalit saktësisht siç e shfaq shfletuesi, duke përfshirë çdo shteg që pret pajisja, pastaj kontrolloni adresën e caktuar përpara se të testoni çdo gjë pas saj. Krijimi i ndërfaqes paraprakisht heq një klasë surprizash gjatë konfigurimit.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Lidhuni, pastaj verifikoni në një rend fiks

Ekzekutoni saktësisht një menaxher VPN në një kohë, sepse një profil NetworkManager dhe një daemon i nisur me dorë do të grinden për rrugët dhe DNS. Ulni profilin përpara se të testoni një lidhje manuale, dhe konfirmoni se nuk mbijetoi asnjë ndërfaqe tuneli e vjetër. Pastaj verifikoni në këtë rend: adresa e tunelit, rruga drejt hostit të vetëm të brendshëm që ju nevojitet, zgjidhja e emrave dhe së fundi një kërkesë reale. Një ikonë e gjelbër provon autentikimin dhe asgjë tjetër.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Nëse një hap dështon, ndaloni atje në vend që të testoni tjetrin, sepse një dështim DNS në rrjedhën e poshtme të një rruge të thyer nuk ju mëson asgjë. Ruani një kopje të profilit që funksionon përpara se të eksperimentoni, sepse një skedar lidhjeje i fshirë humbet lehtë dhe rindërtohet me mundim. Mbani vlerat e propozimit në të njëjtën shënim si modeli i pajisjes dhe versioni i firmware, sepse ai shënim është ndryshimi midis një migrimi dhe një projekti arkeologjik kur kutia zëvendësohet.