Linuxలో FortiGate IPsec: ఏ క్లయింట్ నిజంగా కనెక్ట్ అవుతుంది

మీ Windows సహోద్యోగి FortiGate విజార్డ్ ప్రొఫైల్‌ను దిగుమతి చేసుకుని ఒక నిమిషంలో ఆన్‌లైన్‌లో ఉంటారు. మీరు అదే వెండర్ ప్యాకేజీని Ubuntuలో ఇన్‌స్టాల్ చేసి, IPsec ట్యాబ్ వెతికి, SSL VPN పోర్టల్ తెరవడం మాత్రమే తెలిసిన క్లయింట్‌ను కనుగొంటారు. దాని నుండి వచ్చే ముగింపు సాధారణంగా రెండు విధాలుగా తప్పు: గేట్‌వే మిమ్మల్ని తిరస్కరించడం లేదు, Linux బిల్డ్ పాడై లేదు. Fortinet ఆ క్లయింట్‌ను SSL VPN మద్దతుతో మాత్రమే పంపుతుంది, కాబట్టి మొబైల్ IPsec ప్రొఫైల్‌కు నివసించడానికి స్థలం లేదు మరియు IKEv1 మాట్లాడే చోట దాన్ని తిరిగి నిర్మించాలి.

మొదట, మీకు నిజంగా ఏ ప్రోటోకాల్ ఇవ్వబడిందో నిర్ణయించండి

వెండర్ క్లయింట్‌ను సూచన అమలుగా పరిగణించడం ఆపిన వెంటనే ఆ పునర్నిర్మాణం యాంత్రికమైనది.

FortiGate పరికరాలు SSL VPN మరియు IPsec రెండింటినీ ప్రచురిస్తాయి, మరియు హ్యాండోవర్ ఇమెయిల్ ఏది ఇవ్వబడిందో అరుదుగా చెబుతుంది. పోర్టల్ URLతో బ్రౌజర్ శైలి లాగిన్ పేజీ అంటే SSL VPN, మరియు Linuxలో అక్కడ సమాధానం openfortivpn, క్రింది ఫీల్డ్ మ్యాపింగ్ కాదు. గ్రూప్ ఐడెంటిఫైయర్‌తో ముందుగా పంచుకున్న కీ అంటే మొబైల్ IPsec, దాన్ని vpnc మరియు strongSwan నిర్వహిస్తాయి.

ఇందులో తప్పు చేయడమే Linux ప్రయత్నం మొదటి దశ పూర్తికాకముందే మరణించడానికి అత్యంత సాధారణ కారణం: క్లయింట్ HTTPS పోర్టల్‌కు IKEv1 అందిస్తోంది లేదా దానికి విరుద్ధంగా. ఏదైనా ఇన్‌స్టాల్ చేసే ముందు నిర్వాహకుడిని ప్రోటోకాల్ పేరు రాతపూర్వకంగా అడగండి.

నాలుగు ఆధారాలు నాలుగు వేర్వేరు ఫీల్డ్‌లలో ప్రయాణిస్తాయి

password అనే పదం చాలా హ్యాండోవర్లలో రెండుసార్లు వస్తుంది మరియు రెండు వేర్వేరు విషయాలను సూచిస్తుంది. ముందుగా పంచుకున్న కీ పీర్‌ను స్వయంగా ధృవీకరిస్తుంది, అది నిర్వాహకుడు గేట్‌వే కాన్ఫిగరేషన్ నుండి చదివే మెషిన్ రహస్యం. మీ ఖాతా పాస్‌వర్డ్ ఆ పీర్ వెనుక ఏ మనిషి ఉన్నారో నిరూపించే ప్రత్యేక ఆధారం.

మిగిలిన రెండు విలువలను మిస్ అవ్వడం సులభం. గ్రూప్ ఐడెంటిఫైయర్ అనేది విజార్డ్ IPsec గ్రూప్ ఆబ్జెక్ట్‌లో రాసిన స్ట్రింగ్, మరియు 0 అనేది ఖాళీ ఫీల్డ్ కాదు, చెల్లుబాటు అయ్యే విలువ. ప్రతిపాదన ప్రతి దశకు ఎన్‌క్రిప్షన్, హాషింగ్ మరియు Diffie-Hellman గ్రూప్‌ను, అలాగే PFS సెట్టింగ్‌ను కవర్ చేస్తుంది, మరియు దానిలోని ప్రతి అంశం గేట్‌వేతో సరిపోలాలి. కనెక్షన్ 1వ దశలో విఫలమైనప్పుడు, దాదాపు ఎల్లప్పుడూ ఆ నాలుగింటిలో ఒకటే దోషి, కాబట్టి వాటిని ఒకే సంభాషణలో వేయకుండా వేరుగా రాయండి.

ప్రతి vpnc ఫీల్డ్‌లో ఏమి ఉండాలి

ఎడిటర్ ఇంటర్‌ఫేస్‌తో పాటు క్లయింట్‌ను ఇన్‌స్టాల్ చేసి, ఆపై VPNC కనెక్షన్ సృష్టించండి:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

గేట్‌వేను FortiGate పబ్లిక్ చిరునామాకు, గ్రూప్ పేరును గేట్‌వే ఐడెంటిఫైయర్‌కు సరిగ్గా, నగ్న సున్నా సహా సెట్ చేయండి. Group password ముందుగా పంచుకున్న కీని తీసుకుంటుంది, వినియోగదారు పేరు మరియు పాస్‌వర్డ్ మీ ఖాతాను తీసుకుంటాయి, ఏదైనా టోకెన్ గేట్‌వే ఆశించిన విధంగా జోడించబడుతుంది. అధునాతన సంభాషణలో, ప్రతిపాదన పేర్కొన్న Diffie-Hellman గ్రూప్‌ను ఎంచుకోండి, PFSని అదే గ్రూప్‌కు సరిపోల్చండి, క్లయింట్ ఇంటి రౌటర్ వెనుక ఉన్నప్పుడు NAT ట్రావర్సల్‌ను ప్రారంభించండి, మరియు డెడ్ పీర్ గుర్తింపును గేట్‌వేతో అదే అడుగులో ఉంచండి.

గ్రూప్ పేరు దాటవేయబడే ఫీల్డ్, ఎందుకంటే అది ఐచ్ఛికంగా కనిపిస్తుంది మరియు డిఫాల్ట్ సున్నా ప్లేస్‌హోల్డర్‌లా కనిపిస్తుంది. దాన్ని ఖాళీగా పంపండి, క్లయింట్ గేట్‌వే ధృవీకరించే ఐడెంటిఫైయర్ కంటే భిన్నమైనదాన్ని పంపుతుంది. ప్రొఫైల్ ఇప్పటికీ విఫలమైతే, అధునాతన విలువలను మరో సైట్ ఫోరం పోస్ట్‌తో కాదు, పని చేస్తున్న Windows క్లయింట్‌తో పోల్చండి.

అదే ప్రొఫైల్ strongSwan కోసం రాయబడింది

ఈ విలువలకు strongSwan మంచి దీర్ఘకాలిక పాత్ర, ఎందుకంటే కాన్ఫిగరేషన్ మీరు సమీక్షించి ఉంచుకోగల టెక్స్ట్ ఫైల్:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

బ్లాక్‌కు ముందు ప్రతిపాదన లైన్లను చదవండి, ఎందుకంటే చివరలోని ఆశ్చర్యార్థకం గుర్తు వాటి అర్థాన్ని మారుస్తుంది: అది ఆ ఒకే ప్రతిపాదనను పిన్ చేసి, క్లయింట్ లేకపోతే ఇచ్చే ప్రత్యామ్నాయాలను తొలగిస్తుంది. ఒకే రూపాంతర జత కోసం కాన్ఫిగర్ చేసిన గేట్‌వే జాబితాతో తెరుచుకునే క్లయింట్‌ను తిరస్కరిస్తుంది, కాబట్టి పిన్నింగ్‌యే చర్చను సరిపోలికగా మారుస్తుంది. పని చేస్తున్న గేట్‌వే ప్రొఫైల్ నుండి ఖచ్చితమైన అల్గారిథమ్ పేర్లను తీసుకోండి, మరియు ప్లేస్‌హోల్డర్‌లను మీ స్వంత విలువలతో భర్తీ చేయండి.

రెండు ధృవీకరణ లైన్లు అనవసరం కాదు. PSK పీర్‌ను, XAuth బ్లాక్ వినియోగదారుని నిరూపిస్తాయి, ఏదైనా వదిలివేస్తే గేట్‌వే పూర్తి చేయని దశ మిగులుతుంది.

మరో ఫీల్డ్ మార్చే ముందు వైఫల్యాన్ని చదవండి

సంభాషణను మళ్లీ యాదృచ్ఛికం చేయడం బదులు లక్షణం నుండి వెనుకకు పని చేయండి. కేటాయించిన చిరునామా లేకుండా లేచే IKE SA అంటే వినియోగదారు ధృవీకరణ మార్పిడి విఫలమైంది లేదా ఎప్పుడూ నడవలేదు, కాబట్టి ఖాతా మరియు టోకెన్ నిర్వహణను తనిఖీ చేయండి. ఎప్పుడూ పూర్తికాని 1వ దశ ప్రతిపాదన, గ్రూప్ ఐడెంటిఫైయర్ లేదా దూకుడు మోడ్‌ను సూచిస్తుంది, మరియు వాటిలో ప్రతి ఒక్కటి Windows క్లయింట్‌తో మాత్రమే కాదు, గేట్‌వేతో పోల్చబడుతుంది.

స్థాపించబడి తర్వాత ప్రతి కొన్ని నిమిషాలకు చనిపోయే టన్నెల్ రెండు చివరల మధ్య డెడ్ పీర్ గుర్తింపు అసమ్మతి; అన్ని చోట్లా keepaliveలను ఆఫ్ చేయడం బదులు గేట్‌వే టైమర్‌కు సరిపోల్చండి. స్థాపిత టన్నెల్‌లో కార్యాలయ హోస్ట్‌లు చేరుకోలేనివి కొనసాగితే, సాధారణంగా నెట్టిన సబ్‌నెట్ ఎప్పుడూ స్థానిక రూటింగ్ పట్టికలోకి రాలేదు అని అర్థం, దాన్ని మూడవ పక్షం క్లయింట్ తనంతట తానుగా చేయకపోవచ్చు.

పూర్తయ్యాక పని చేసే విలువలను గేట్‌వే యజమానికి తిరిగి ఇవ్వండి: ప్రోటోకాల్, గ్రూప్ ఐడెంటిఫైయర్, ముందుగా పంచుకున్న కీ, ప్రతిపాదన, PFS మరియు DPD నిర్ణయం. అప్పుడు తదుపరి Linux మెషిన్ పూర్తి సాయంత్రం బదులు కొన్ని నిమిషాలు తీసుకుంటుంది, మరియు గ్రూప్ పేరు సున్నా అని ఎవరూ మళ్లీ కనుగొనాల్సిన అవసరం లేదు.