FortiGate IPsec на Linux-у: који се клијент заиста повезује

Linux клијент добављача говори само SSL VPN. Мобилни IPsec профил мора поново да се изгради у vpnc или strongSwan-у, и четири поља морају да се слажу са пролазом.

Ваш колега на Windows-у увози профил чаробњака FortiGate и за минут је на мрежи. Ви инсталирате исти пакет добављача на Ubuntu, тражите картицу IPsec и налазите клијент који уме само да отвори SSL VPN портал. Закључак који следи обично је погрешан двапут: мрежни пролаз вас не одбија, а Linux градња није покварена. Fortinet испоручује тај клијент само са SSL VPN подршком, па мобилни IPsec профил нема где да живи и мора поново да се изгради тамо где се говори IKEv1.

Прво одлучите који протокол сте заиста добили

Та поновна изградња је механичка када престанете да третирате клијент добављача као референтну имплементацију.

FortiGate уређаји објављују и SSL VPN и IPsec, а имејл о предаји ретко каже који вам је додељен. URL портала плус страница за пријаву у стилу прегледача значи SSL VPN, а на Linux-у је тамо одговор openfortivpn, не мапирање поља испод. Идентификатор групе плус унапред подељени кључ значи мобилни IPsec, чиме се баве vpnc и strongSwan.

Погрешити у овоме је најчешћи разлог зашто Linux покушај умре пре него што се прва фаза заврши: клијент нуди IKEv1 HTTPS порталу или обрнуто. Затражите од администратора назив протокола у писаној форми пре него што било шта инсталирате.

Четири тајне путују у четири различита поља

Реч password се у већини предаја појављује двапут и значи две различите ствари. Унапред подељени кључ проверава самог партнера и то је машинска тајна коју администратор чита из конфигурације пролаза. Лозинка вашег налога је одвојена тајна која доказује који човек стоји иза тог партнера.

Друге две вредности лакше се превиде. Идентификатор групе је ниска коју је чаробњак уписао у објекат групе IPsec, а 0 је легитимна вредност, не празно поље. Предлог покрива шифровање, хеширање и Diffie-Hellman групу за сваку фазу, плус подешавање PFS, и свака његова ставка мора да се слаже са пролазом. Када веза падне у фази 1, скоро увек је крива једна од те четири, зато их запишите одвојено уместо да их стрпате у један дијалог.

Шта мора да садржи свако поље vpnc

Инсталирајте клијент заједно са уређивачким окружењем, затим направите VPNC везу:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Поставите пролаз на јавну адресу FortiGate-а, а име групе тачно на идентификатор са пролаза, укључујући голу нулу. Group password узима унапред подељени кључ, док корисничко име и лозинка узимају ваш налог, са било којим токеном додатим како пролаз очекује. У напредном дијалогу изаберите Diffie-Hellman групу коју предлог наводи, ускладите PFS са истом групом, омогућите NAT пролаз када је клијент иза кућног рутера и оставите откривање мртвог партнера у истом кораку са пролазом.

Име групе је поље које се прескаче, јер изгледа необавезно, а подразумевана нула подсећа на резервисано место. Пошаљите га празно и клијент преноси другачији идентификатор од оног који пролаз проверава. Ако профил и даље не успева, упоредите напредне вредности са радним Windows клијентом, а не са поруком на форуму за другу локацију.

Исти профил написан за strongSwan

strongSwan је бољи дугорочни контејнер за ове вредности, јер је конфигурација текстуална датотека коју можете да прегледате и сачувате:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Прочитајте редове предлога пре блока, јер узвичник на крају мења њихово значење: он причвршћује тај један предлог и уклања алтернативе које би клијент иначе понудио. Пролаз конфигурисан за један пар трансформација одбиће клијент који се отвара са списком, па управо причвршћивање претвара преговоре у поклапање. Узмите тачна имена алгоритама из радног профила пролаза и замените резервисана места својим вредностима.

Два реда провере нису сувишна. PSK доказује партнера, XAuth блок доказује корисника, а изостављање било ког оставља фазу коју пролаз неће завршити.

Прочитајте неуспех пре него што промените још једно поље

Радите уназад од симптома уместо да поново насумично мењате дијалог. IKE SA који се подигне без додељене адресе значи да је размена провере корисника пропала или се никада није извршила, зато проверите налог и руковање токеном. Фаза 1 која се никада не заврши указује на предлог, идентификатор групе или агресивни режим, и сваки од њих се пореди са пролазом, не само са Windows клијентом.

Тунел који се успостави и затим умире сваких неколико минута је неслагање о откривању мртвог партнера између два краја; ускладите тајмер пролаза уместо да искључите keepalive свуда. Успостављен тунел у коме канцеларијски домаћини остају недоступни обично значи да потиснута подмрежа никада није стигла у локалну табелу рутирања, што клијент треће стране можда не чини сам.

Када завршите, вратите радне вредности власнику пролаза: протокол, идентификатор групе, унапред подељени кључ, предлог, PFS и одлуку о DPD. Следећа Linux машина тада траје минуте уместо вечери, и нико не мора поново да открије да је име групе било нула.

Повезани чланци