FortiGate IPsec kwenye Linux: mteja upi huunganisha kwa kweli

Mwanakampuni wako wa Windows anaagiza wasifu wa mchawi wa FortiGate na yuko mtandaoni kwa dakika moja. Wewe unasanidi kifurushi kilekile cha msambazaji kwenye Ubuntu, unatafuta kichupo cha IPsec, na unakuta mteja anayejua tu kufungua SSL VPN. Hitimisho linalofuata kwa kawaida si sahihi mara mbili: lango halikukatai, na ujenzi wa Linux haujaharibika. Fortinet husafirisha mteja huyo akiwa na usaidizi wa SSL VPN pekee, kwa hivyo wasifu wa IPsec wa simu hauna mahali pa kuishi na lazima ujengwe upya mahali panapozungumzwa IKEv1.

Kwanza, amua ni itifaki ipi ulipewa kwa kweli

Ujenzi upya huo ni wa kiufundi mara tu unapoacha kuuchukua mteja wa msambazaji kama utekelezaji wa marejeleo.

Vifaa vya FortiGate huchapisha SSL VPN na IPsec, na barua pepe ya makabidhiano mara chache husema ni ipi uliyopewa. URL ya lango pamoja na ukurasa wa kuingia wa mtindo wa kivinjari humaanisha SSL VPN, na kwenye Linux jibu hapo ni openfortivpn, si ramani ya sehemu zilizo hapa chini. Kitambulisho cha kikundi pamoja na ufunguo ulioshirikiwa mapema humaanisha IPsec ya simu, ambayo vpnc na strongSwan huishughulikia.

Kukosea hapa ni sababu ya kawaida zaidi ya jaribio la Linux kufa kabla awamu ya kwanza kukamilika: mteja anatoa IKEv1 kwa lango la HTTPS au kinyume chake. Mwombe msimamizi jina la itifaki kwa maandishi kabla ya kusakinisha chochote.

Vitambulisho vinne husafiri katika sehemu nne tofauti

Neno password huonekana mara mbili katika makabidhiano mengi na humaanisha mambo mawili tofauti. Ufunguo ulioshirikiwa mapema huthibitisha mwenza mwenyewe, na ni siri ya mashine ambayo msimamizi huisoma kutoka usanidi wa lango. Nenosiri la akaunti yako ni kitambulisho tofauti kinachothibitisha ni mtu gani aliye nyuma ya mwenza huyo.

Thamani nyingine mbili ni rahisi kuzikosa. Kitambulisho cha kikundi ni mfuatano ambao mchawi uliandika kwenye kitu cha kikundi cha IPsec, na 0 ni thamani halali, si sehemu tupu. Pendekezo linashughulikia usimbaji fiche, hashi na kikundi cha Diffie-Hellman kwa kila awamu, pamoja na mpangilio wa PFS, na kila kipengele ndani yake lazima kikubaliane na lango. Wakati muunganisho unashindikana katika awamu ya 1, karibu kila mara mmoja wa hao wanne ndiye mwenye hatia, kwa hivyo waandike kando badala ya kuwatupa kwenye mazungumzo moja.

Kila sehemu ya vpnc lazima iwe na nini

Sakinisha mteja pamoja na kiolesura cha kihariri, kisha tengeneza muunganisho wa VPNC:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Weka lango kwenye anwani ya umma ya FortiGate, na jina la kikundi hasa kwenye kitambulisho kutoka lango, ikiwa ni pamoja na sifuri tupu. Group password huchukua ufunguo ulioshirikiwa mapema, wakati jina la mtumiaji na nenosiri huchukua akaunti yako, na tokeni yoyote ikaongezwa kama lango linavyotarajia. Katika mazungumzo ya kina, chagua kikundi cha Diffie-Hellman ambacho pendekezo linataja, linganisha PFS na kikundi hicho hicho, washa upitishaji wa NAT wakati mteja yuko nyuma ya rauta ya nyumbani, na uache utambuzi wa mwenza aliyekufa ukiwa hatua moja na lango.

Jina la kikundi ni sehemu inayorukwa, kwa sababu inaonekana ni ya hiari na sifuri chaguo-msingi inafanana na kishika nafasi. Itume tupu na mteja hupitisha kitambulisho tofauti na kile ambacho lango huthibitisha. Ikiwa wasifu bado unashindikana, linganisha thamani za kina na mteja wa Windows anayefanya kazi badala ya na chapisho la jukwaa la tovuti nyingine.

Wasifu huo huo ulioandikwa kwa strongSwan

strongSwan ni chombo bora cha muda mrefu kwa thamani hizi, kwa kuwa usanidi ni faili ya maandishi unayoweza kuipitia na kuihifadhi:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Soma mistari ya pendekezo kabla ya kizuizi, kwa sababu alama ya mshangao mwishoni hubadilisha maana yao: inabandika pendekezo hilo moja na huondoa njia mbadala ambazo mteja angezitoa vinginevyo. Lango lililowekwa kwa jozi moja ya mabadiliko litakataa mteja anayefunguka na orodha, kwa hivyo ubadikaji ndio unaobadilisha mazungumzo kuwa ulinganifu. Chukua majina sahihi ya algoriti kutoka wasifu wa lango unaofanya kazi, na ubadilishe vishika nafasi na thamani zako mwenyewe.

Mistari miwili ya uthibitishaji si ya ziada. PSK inathibitisha mwenza, kizuizi cha XAuth kinathibitisha mtumiaji, na kuacha yoyote huacha awamu ambayo lango halitakamilisha.

Soma kushindwa kabla ya kubadilisha sehemu nyingine

Fanya kazi kinyume kutoka kwa dalili badala ya kuubadilisha mazungumzo kwa bahati nasibu tena. IKE SA inayoinuka bila anwani iliyotengwa humaanisha kwamba mabadilishano ya uthibitishaji wa mtumiaji yalishindikana au hayakuwahi kuendeshwa, kwa hivyo angalia akaunti na utunzaji wa tokeni. Awamu ya 1 isiyokamilika kamwe inaelekeza kwenye pendekezo, kitambulisho cha kikundi au hali ya ukali, na kila moja inalinganishwa na lango, si na mteja wa Windows pekee.

Handaki linalosimama kisha kufa kila dakika chache ni kutokubaliana kwa utambuzi wa mwenza aliyekufa kati ya ncha mbili; linganisha kipima muda cha lango badala ya kuzima keepalive kila mahali. Handaki lililosimama ambapo wenyeji wa ofisi wanabaki hawafikiki kwa kawaida humaanisha kwamba subneti iliyosukuma haikuwahi kufika kwenye jedwali la uelekezaji la ndani, jambo ambalo mteja wa mtu wa tatu anaweza asilifanye mwenyewe.

Ukimaliza, rudisha thamani zinazofanya kazi kwa mmiliki wa lango: itifaki, kitambulisho cha kikundi, ufunguo ulioshirikiwa mapema, pendekezo, PFS na uamuzi wa DPD. Wakati huo mashine inayofuata ya Linux itachukua dakika badala ya jioni nzima, na hakuna mtu atakayelazimika kugundua tena kwamba jina la kikundi lilikuwa sifuri.