Linux இல் FortiGate IPsec: எந்த கிளையண்ட் உண்மையில் இணைகிறது

உங்கள் Windows சக ஊழியர் FortiGate வழிகாட்டி சுயவிவரத்தை இறக்குமதி செய்து ஒரு நிமிடத்தில் இணையத்தில் இருக்கிறார். நீங்கள் அதே விற்பனையாளர் தொகுப்பை Ubuntu இல் நிறுவி, IPsec தாவலைத் தேடி, SSL VPN போர்ட்டலைத் திறக்க மட்டுமே தெரிந்த ஒரு கிளையண்டைக் காண்கிறீர்கள். அதிலிருந்து வரும் முடிவு பொதுவாக இரு வழிகளிலும் தவறானது: நுழைவாயில் உங்களை நிராகரிக்கவில்லை, Linux கட்டுமானம் உடைந்து போகவில்லை. Fortinet அந்த கிளையண்டை SSL VPN ஆதரவுடன் மட்டுமே அனுப்புகிறது, எனவே மொபைல் IPsec சுயவிவரத்திற்கு வாழ இடமில்லை, IKEv1 பேசப்படும் இடத்தில் அதை மீண்டும் கட்ட வேண்டும்.

முதலில், உண்மையில் உங்களுக்கு எந்த நெறிமுறை வழங்கப்பட்டது என்பதை முடிவு செய்யுங்கள்

விற்பனையாளரின் கிளையண்டை குறிப்பு செயலாக்கமாகக் கருதுவதை நிறுத்தியதும் அந்த மறுகட்டுமானம் இயந்திரத்தனமானது.

FortiGate சாதனங்கள் SSL VPN மற்றும் IPsec இரண்டையும் வெளியிடுகின்றன, ஒப்படைப்பு மின்னஞ்சல் எது வழங்கப்பட்டது என்பதை அரிதாகவே கூறுகிறது. போர்ட்டல் URL உடன் உலாவி பாணி உள்நுழைவு பக்கம் என்றால் SSL VPN, Linux இல் அங்கு பதில் openfortivpn, கீழே உள்ள புல மேப்பிங் அல்ல. குழு அடையாளங்காட்டி உடன் முன்பே பகிரப்பட்ட விசை என்றால் மொபைல் IPsec, அதை vpnc மற்றும் strongSwan கையாள்கின்றன.

இதில் தவறு செய்வதே Linux முயற்சி முதல் கட்டம் முடிவதற்கு முன் இறப்பதற்கான மிகவும் பொதுவான காரணம்: கிளையண்ட் HTTPS போர்ட்டலுக்கு IKEv1 வழங்குகிறது அல்லது அதற்கு நேர்மாறாக. எதையும் நிறுவுவதற்கு முன் நிர்வாகியிடம் நெறிமுறையின் பெயரை எழுத்துப்பூர்வமாகக் கேளுங்கள்.

நான்கு சான்றுகள் நான்கு வெவ்வேறு புலங்களில் பயணிக்கின்றன

password என்ற சொல் பெரும்பாலான ஒப்படைப்புகளில் இருமுறை வருகிறது, இரண்டு வெவ்வேறு விஷயங்களைக் குறிக்கிறது. முன்பே பகிரப்பட்ட விசை சகாவையே அங்கீகரிக்கிறது, அது நிர்வாகி நுழைவாயில் உள்ளமைவிலிருந்து படிக்கும் இயந்திர ரகசியம். உங்கள் கணக்கு கடவுச்சொல் அந்த சகாவின் பின்னால் எந்த மனிதர் இருக்கிறார் என்பதை நிரூபிக்கும் தனி சான்று.

மற்ற இரண்டு மதிப்புகளைத் தவறவிடுவது எளிது. குழு அடையாளங்காட்டி என்பது வழிகாட்டி IPsec குழு பொருளில் எழுதிய சரம், 0 என்பது காலி புலம் அல்ல, செல்லுபடியாகும் மதிப்பு. முன்மொழிவு ஒவ்வொரு கட்டத்திற்கும் மறையாக்கம், ஹாஷிங் மற்றும் Diffie-Hellman குழுவையும், PFS அமைப்பையும் உள்ளடக்குகிறது, அதில் உள்ள ஒவ்வொரு உருப்படியும் நுழைவாயிலுடன் ஒத்துப்போக வேண்டும். இணைப்பு 1 வது கட்டத்தில் தோல்வியடையும்போது, கிட்டத்தட்ட எப்போதும் அந்த நான்கில் ஒன்றே குற்றவாளி, எனவே அவற்றை ஒரே உரையாடலில் போடாமல் தனித்தனியாக எழுதுங்கள்.

ஒவ்வொரு vpnc புலத்திலும் என்ன இருக்க வேண்டும்

திருத்தி இடைமுகத்துடன் கிளையண்டை நிறுவி, பின்னர் VPNC இணைப்பை உருவாக்குங்கள்:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

நுழைவாயிலை FortiGate இன் பொது முகவரியில், குழு பெயரை நுழைவாயிலின் அடையாளங்காட்டியில் சரியாக, வெறும் பூஜ்ஜியம் உட்பட அமைக்கவும். Group password முன்பே பகிரப்பட்ட விசையை எடுக்கிறது, பயனர் பெயரும் கடவுச்சொல்லும் உங்கள் கணக்கை எடுக்கின்றன, ஏதேனும் டோக்கன் நுழைவாயில் எதிர்பார்க்கிறபடி சேர்க்கப்படுகிறது. மேம்பட்ட உரையாடலில், முன்மொழிவு பெயரிடும் Diffie-Hellman குழுவைத் தேர்ந்தெடுத்து, PFS ஐ அதே குழுவுடன் பொருத்தி, கிளையண்ட் வீட்டு ரவுட்டருக்குப் பின்னால் இருக்கும்போது NAT கடப்பை இயக்கி, இறந்த சகா கண்டறிதலை நுழைவாயிலுடன் ஒரே காலடியில் வைக்கவும்.

குழு பெயர் தவிர்க்கப்படும் புலம், ஏனெனில் அது விருப்பமாகத் தெரிகிறது, இயல்புநிலை பூஜ்ஜியம் ஒரு இடம்காட்டி போலத் தெரிகிறது. அதை காலியாக அனுப்புங்கள், கிளையண்ட் நுழைவாயில் சரிபார்க்கும் அடையாளங்காட்டிலிருந்து வேறுபட்ட ஒன்றை அனுப்புகிறது. சுயவிவரம் இன்னும் தோல்வியடைந்தால், மேம்பட்ட மதிப்புகளை வேறு தளத்திற்கான மன்ற இடுகையுடன் அல்ல, இயங்கும் Windows கிளையண்டுடன் ஒப்பிடுங்கள்.

அதே சுயவிவரம் strongSwan க்காக எழுதப்பட்டது

இந்த மதிப்புகளுக்கு strongSwan சிறந்த நீண்டகால கொள்கலன், ஏனெனில் உள்ளமைவு நீங்கள் மதிப்பாய்வு செய்து வைத்திருக்கக்கூடிய உரை கோப்பு:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

தொகுதிக்கு முன் முன்மொழிவு வரிகளைப் படியுங்கள், ஏனெனில் இறுதியில் உள்ள ஆச்சரியக்குறி அவற்றின் பொருளை மாற்றுகிறது: அது அந்த ஒரு முன்மொழிவைப் பின்னி, கிளையண்ட் இல்லாவிட்டால் வழங்கும் மாற்றுகளை நீக்குகிறது. ஒரு உருமாற்ற ஜோடிக்கு உள்ளமைக்கப்பட்ட நுழைவாயில் பட்டியலுடன் திறக்கும் கிளையண்டை நிராகரிக்கும், எனவே பின்னுதலே பேச்சுவார்த்தையை பொருத்தமாக மாற்றுகிறது. இயங்கும் நுழைவாயில் சுயவிவரத்திலிருந்து துல்லியமான வழிமுறைப் பெயர்களை எடுத்து, இடம்காட்டிகளை உங்கள் சொந்த மதிப்புகளால் மாற்றுங்கள்.

இரண்டு அங்கீகார வரிகளும் தேவையற்றவை அல்ல. PSK சகாவையும், XAuth தொகுதி பயனரையும் நிரூபிக்கிறது, ஏதேனும் ஒன்றை விட்டால் நுழைவாயில் முடிக்காத ஒரு கட்டம் எஞ்சும்.

மற்றொரு புலத்தை மாற்றுவதற்கு முன் தோல்வியைப் படியுங்கள்

உரையாடலை மீண்டும் சீரற்றதாக்குவதற்குப் பதிலாக அறிகுறியிலிருந்து பின்னோக்கி வேலை செய்யுங்கள். ஒதுக்கப்பட்ட முகவரி இல்லாமல் எழும் IKE SA என்பது பயனர் அங்கீகார பரிமாற்றம் தோல்வியடைந்தது அல்லது ஒருபோதும் இயங்கவில்லை என்பதாகும், எனவே கணக்கையும் டோக்கன் கையாளுதலையும் சரிபார்க்கவும். ஒருபோதும் முடிவடையாத 1 வது கட்டம் முன்மொழிவு, குழு அடையாளங்காட்டி அல்லது ஆக்கிரமிப்பு பயன்முறையைச் சுட்டுகிறது, அவை ஒவ்வொன்றும் Windows கிளையண்டுடன் மட்டுமல்ல, நுழைவாயிலுடன் ஒப்பிடப்படுகின்றன.

நிறுவப்பட்ட பிறகு ஒவ்வொரு சில நிமிடங்களுக்கும் இறக்கும் சுரங்கப்பாதை இரு முனைகளுக்கிடையே இறந்த சகா கண்டறிதலின் வேறுபாடு; எல்லா இடங்களிலும் keepalive ஐ முடக்குவதற்குப் பதிலாக நுழைவாயிலின் நேரக்கட்டுப்பாட்டைப் பொருத்துங்கள். நிறுவப்பட்ட சுரங்கப்பாதையில் அலுவலக புரவலர்கள் அணுக முடியாதவையாக இருந்தால், பொதுவாக தள்ளப்பட்ட துணை வலையமைப்பு உள்ளூர் வழித்தட அட்டவணையில் ஒருபோதும் சேரவில்லை என்று பொருள், அதை மூன்றாம் தரப்பு கிளையண்ட் தானாகச் செய்யாமல் இருக்கலாம்.

முடிந்ததும் செயல்படும் மதிப்புகளை நுழைவாயிலின் உரிமையாளரிடம் திருப்பிக் கொடுங்கள்: நெறிமுறை, குழு அடையாளங்காட்டி, முன்பே பகிரப்பட்ட விசை, முன்மொழிவு, PFS மற்றும் DPD முடிவு. பிறகு அடுத்த Linux இயந்திரம் ஒரு மாலைக்குப் பதிலாக சில நிமிடங்கள் எடுக்கும், குழு பெயர் பூஜ்ஜியமாக இருந்தது என்பதை யாரும் மீண்டும் கண்டுபிடிக்க வேண்டியதில்லை.