Linganisha mteja wa VPN wa Linux na itifaki ya kifaa cha zamani

Familia nne za itifaki hufunika karibu kila kifaa kilichobaki kwenye rafu, na kila moja inashindikana kwa namna tofauti kwenye Linux. Bandari zilizochapishwa na mapendekezo yaliyowekwa ya upande wa mbali huamua kifurushi chako, si usambazaji unaoendesha kwa bahati. Kufunga kile kinachotajwa na chapisho la jukwaa kisha kuhariri hadi kitu kuunganishwa ndiyo njia ambayo mchana hupotea. Soma kifaa, sakinisha cha pili, thibitisha cha tatu.

Rekodi kile upande wa mbali unachapisha

Andika itifaki, bandari na uthibitishaji ambao kifaa unatarajia kabla ya kufungua msimamizi wa vifurushi. Familia nne hufunika sehemu kubwa ya vifaa vya zamani, na jedwali lililo hapa chini ndilo uamuzi wote kwenye skrini moja.

Mwongozo na kanuni za firewall za kifaa chenyewe ni za kuaminika zaidi kuliko jina la itifaki kwenye ukurasa wake wa kuingia. Kifaa kinachotangaza IPsec kinaweza kuzungumza IKEv1 pekee, na toleo la firmware ambalo hakuna aliyelitumia linaweza kuwa ndilo linaloongeza IKEv2 mwishowe. Thibitisha njia ya data na bandari ya usanidi pia, kwa sababu hapa ndipo vifaa vya zamani na mitandao ya kisasa hutofautiana. Kukosea hatua hii kunamaanisha kutatua hitilafu za mteja wako dhidi ya kipengele ambacho upande mwingine haukuwa nacho kamwe.

PPTP: thibitisha GRE kabla ya kuhariri pppd

PPTP kwenye Linux si daemon unaoanzisha bali wito wa pppd, na vigezo vya muunganisho huishi katika faili ya peer iliyopewa jina ambayo pppd husoma inapoitwa. Usambazaji bado wanaifunga, ingawa udhaifu unaojulikana wa itifaki huifanya isifae kwa kitu chochote nyeti, kwa hiyo iweke kwa uthabiti kwa kifaa kisichotoa kitu kingine. Angalia GRE wakati mteja anajadili, kwa kunasa kwa muda mfupi badala ya kudhani. Kushindwa kunakotumia muda mwingi si uthibitishaji bali njia ya data iliyokosekana.

pppd call branch-office
tcpdump -ni any proto gre -c 5

Ikiwa usanidi unakamilika na kiungo hakibeba trafiki kamwe, shuku njia ya GRE kabla ya kugusa vitambulisho. Vikundi vya usalama vya wingu vinahitaji kanuni bayana kwa itifaki 47, na mitandao mingine huizuia kabisa bila hitilafu inayoonekana. Jaribu kutoka mtandao ambao kweli utautumia, si kutoka maabara inayoruhusu kila kitu.

L2TP/IPsec: pendekezo moja linalolingana hushinda majaribio kumi

Soma kumbukumbu ya daemon badala ya mazungumzo ya desktop, kwa sababu mazungumzo huunganisha hitilafu kadhaa tofauti kuwa ujumbe mmoja. Hitilafu ya NO_PROPOSAL_CHOSEN ni ya awamu ya kwanza: mteja alitoa usimbaji fiche, hashi au kikundi cha Diffie-Hellman ambacho seva haitakubali. Orodhesha kile kifaa kinachotumia na andika pendekezo moja linalolingana, kwa sababu michanganyiko ya nasibu mara nyingi hutoa hitilafu hiyo hiyo polepole. Kwenye desktop, mteja wa vitendo ni programu-jalizi ya NetworkManager L2TP ikiwa na strongSwan au Libreswan chini yake.

Mfuatano wa pendekezo ambao kwa programu-jalizi ya desktop unamaanisha jambo moja unaweza kumaanisha jambo lingine kwa daemon inayopewa kazi, kwa hiyo weka sintaksia inayofaa tabaka unalolihariri. Ikiwa kifaa kinahitaji pia siri ya handaki, hiyo ni hatua tofauti na ufunguo wa IPsec. Thibitisha ni ipi kati ya mbili ambayo kiolesura kinauliza kabla ya kuandika chochote ndani yake.

IKEv1 yenye ukali pamoja na XAuth, na kisa cha lango

Kituo cha mwisho cha mtindo wa FortiGate kwa kawaida hutaka hali yenye ukali pamoja na XAuth na anwani ya hali iliyosanidiwa, ambayo programu-jalizi ya picha inaweza isiionyeshe kabisa. Daemon asilia huishughulikia, na kizuizi kilicho hapa chini ni umbo la usanidi huo, si faili kamili. Angalia nyaraka za sasa za muuzaji kwa thamani za pendekezo.

conn branch
    keyexchange=ikev1
    aggressive=yes
    leftauth=psk
    leftauth2=xauth
    leftsourceip=%config
    right=203.0.113.10

Matoleo ya zamani ya strongSwan yalitumia xauth=client pale ambapo toleo la 5 hutumia leftauth2=xauth, kwa hiyo kipande kilichonakiliwa kinaweza kushindikana kwa sintaksia pekee. Kwa lango la TLS, openconnect inayozungumza itifaki ya AnyConnect hushughulikia Cisco na chapa nyingi zilizopewa jina jipya, na inahitaji kifaa cha TUN pamoja na ruhusa za kukisanidi. Pitisha anwani ya lango jinsi kivinjari inavyoionyesha, ikiwa ni pamoja na njia yoyote ambayo kifaa inatarajia, kisha angalia anwani iliyotengwa kabla ya kujaribu chochote nyuma yake. Kuunda kiolesura mapema huondoa aina moja ya mshangao wakati wa usanidi.

sudo ip tuntap add dev tun0 mode tun
sudo openconnect --protocol=anyconnect vpn.example.com

Ungana, kisha thibitisha kwa mpangilio maalum

Endesha msimamizi mmoja wa VPN kwa wakati mmoja, kwa sababu wasifu wa NetworkManager na daemon iliyoanzishwa kwa mkono zitagombana kuhusu njia na DNS. Shusha wasifu kabla ya kujaribu muunganisho wa mkono, na thibitisha kwamba hakuna kiolesura cha zamani cha handaki kilichobaki. Kisha thibitisha kwa mpangilio huu: anwani ya handaki, njia hadi mwenyeji mmoja wa ndani unaohitaji, utatuzi wa majina, na mwishowe ombi halisi. Aikoni ya kijani huthibitisha uthibitishaji na kitu kingine chochote.

ip -4 addr show tun0
ip route get 10.20.30.10
getent hosts app.internal

Hatua yoyote ikishindikana, simama hapo badala ya kujaribu inayofuata, kwa sababu kushindwa kwa DNS chini ya njia iliyovunjika hukufundishi chochote. Hifadhi nakala ya wasifu unaofanya kazi kabla ya kufanya majaribio, kwa sababu faili ya muunganisho iliyofutwa hupotea kwa urahisi na ni tabu kuijenga upya. Weka thamani za pendekezo katika noti moja na modeli ya kifaa na toleo la firmware, kwa sababu noti hiyo ni tofauti kati ya uhamishaji na mradi wa akiolojia sanduku linapobadilishwa.