FortiGate IPsec på Linux: vilken klient som faktiskt ansluter

Din Windows-kollega importerar en FortiGate-guideprofil och är online på en minut. Du installerar samma leverantörspaket på Ubuntu, letar efter en IPsec-flik och hittar en klient som bara kan öppna en SSL VPN-portal. Slutsatsen som följer är oftast fel två gånger: gatewayen avvisar dig inte, och Linux-bygget är inte trasigt. Fortinet levererar den klienten endast med SSL VPN-stöd, så en mobil IPsec-profil har ingen plats att bo på och måste byggas om där man talar IKEv1.

Bestäm först vilket protokoll du faktiskt fick

Den ombyggnaden är mekanisk när du slutar behandla leverantörens klient som referensimplementeringen.

FortiGate-enheter publicerar både SSL VPN och IPsec, och överlämningsmejlet säger sällan vilket du fick. En portal-URL plus en inloggningssida i webbläsarstil betyder SSL VPN, och på Linux är svaret där openfortivpn, inte fältmappningen nedan. En gruppidentifierare plus en fördelad nyckel betyder mobil IPsec, vilket vpnc och strongSwan hanterar.

Att göra detta fel är den vanligaste orsaken till att ett Linux-försök dör innan första fasen är klar: klienten erbjuder IKEv1 till en HTTPS-portal eller tvärtom. Be administratören om protokollnamnet skriftligt innan du installerar något.

Fyra hemligheter reser i fyra olika fält

Ordet password förekommer två gånger i de flesta överlämningar och betyder två olika saker. Den fördelade nyckeln autentiserar peer-datorn själv, och det är en maskinhemlighet som administratören läser ur gatewayens konfiguration. Ditt kontolösenord är en separat hemlighet som bevisar vilken människa som står bakom den peer-datorn.

De två andra värdena är lättare att missa. Gruppidentifieraren är strängen som guiden skrev in i IPsec-gruppobjektet, och 0 är ett giltigt värde, inte ett tomt fält. Förslaget omfattar kryptering, hashning och en Diffie-Hellman-grupp för varje fas, plus PFS-inställningen, och varje post i det måste stämma med gatewayen. När en anslutning misslyckas i fas 1 är nästan alltid en av de fyra boven, så skriv ned dem var för sig i stället för att slänga in dem i en enda dialog.

Vad varje vpnc-fält måste innehålla

Installera klienten tillsammans med redigeringsgränssnittet och skapa sedan en VPNC-anslutning:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Ställ in gatewayen på FortiGates publika adress och gruppnamnet exakt på identifieraren från gatewayen, inklusive en bar nolla. Group password tar den fördelade nyckeln, medan användarnamn och lösenord tar ditt konto, med eventuell token tillagd som gatewayen förväntar sig. I den avancerade dialogen väljer du den Diffie-Hellman-grupp som förslaget namnger, matchar PFS till samma grupp, aktiverar NAT-traversering när klienten sitter bakom en hemrouter och låter identifieringen av död peer gå i takt med gatewayen.

Gruppnamnet är fältet som hoppas över, eftersom det ser valfritt ut och standardvärdet noll liknar en platshållare. Skicka det tomt och klienten överför en annan identifierare än den gatewayen validerar. Om profilen fortfarande misslyckas, jämför de avancerade värdena med den fungerande Windows-klienten i stället för med ett foruminlägg för en annan plats.

Samma profil skriven för strongSwan

strongSwan är den bättre långsiktiga behållaren för dessa värden, eftersom konfigurationen är en textfil du kan granska och behålla:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Läs förslagsraderna före blocket, eftersom utropstecknet på slutet ändrar deras betydelse: det fäster just det enda förslaget och tar bort de alternativ som klienten annars skulle erbjuda. En gateway konfigurerad för ett enda transformationspar avvisar en klient som öppnar med en lista, så det är fästningen som gör en förhandling till en träff. Ta de exakta algoritmnamnen från den fungerande gatewayprofilen och ersätt platshållarna med dina egna värden.

De två autentiseringsraderna är inte överflödiga. PSK:n bevisar peer-datorn, XAuth-blocket bevisar användaren, och tar man bort någon av dem återstår en fas som gatewayen inte slutför.

Läs felet innan du ändrar ännu ett fält

Arbeta baklänges från symptomet i stället för att slumptända dialogen igen. En IKE SA som kommer upp utan tilldelad adress betyder att användarautentiseringen misslyckades eller aldrig kördes, så kontrollera kontot och tokenhanteringen. En fas 1 som aldrig slutförs pekar på förslaget, gruppidentifieraren eller aggressivt läge, och var och en av dem jämförs med gatewayen, inte bara med Windows-klienten.

En tunnel som etableras och sedan dör varje par minuter är en oenighet om identifiering av död peer mellan de två ändarna; matcha gatewayens timer i stället för att stänga av keepalives överallt. En etablerad tunnel där kontorets värddatorer fortsätter vara oåtkomliga betyder oftast att det påskjutna subnätet aldrig hamnade i den lokala routingtabellen, vilket en tredjepartsklient kanske inte gör själv.

Lämna tillbaka de fungerande värdena till gatewayens ägare när du är klar: protokoll, gruppidentifierare, fördelad nyckel, förslag, PFS och DPD-beslutet. Nästa Linux-maskin tar då minuter i stället för en kväll, och ingen behöver upptäcka igen att gruppnamnet var noll.