FortiGate IPsec sa Linux: aling client ang tunay na kumokonekta

Ang kasamahan mo sa Windows ay nag-import ng FortiGate wizard profile at online sa loob ng isang minuto. Ikinakabit mo ang parehong pakete ng vendor sa Ubuntu, naghahanap ng tab na IPsec, at nakakita ng client na alam lamang buksan ang isang SSL VPN. Ang konklusyong kasunod ay karaniwang mali nang dalawang beses: hindi ka tinatanggihan ng gateway, at ang build ng Linux ay hindi sira. Ipinapadala ng Fortinet ang client na iyon na may suporta lamang sa SSL VPN, kaya ang mobile na IPsec profile ay walang matitirahan at kailangang muling itayo sa lugar na nagsasalita ng IKEv1.

Una, magpasya kung aling protocol ang talagang ibinigay sa iyo

Ang muling pagtatayong iyon ay mekanikal kapag tumigil ka nang ituring ang client ng vendor bilang reference implementation.

Ang mga FortiGate device ay naglalathala ng parehong SSL VPN at IPsec, at bihirang sabihin ng handover email kung alin ang ibinigay sa iyo. Ang portal URL kasama ang login page na parang browser ay nangangahulugang SSL VPN, at sa Linux ang sagot doon ay openfortivpn, hindi ang field mapping sa ibaba. Ang group identifier kasama ang pre-shared key ay nangangahulugang mobile IPsec, na siyang hinahawakan ng vpnc at strongSwan.

Ang mali dito ang pinakakaraniwang dahilan kung bakit namamatay ang pagtatangkang Linux bago matapos ang unang yugto: nag-aalok ang client ng IKEv1 sa isang HTTPS portal o kabaligtaran. Hilingin sa administrator ang pangalan ng protocol sa sulat bago mag-install ng anuman.

Apat na kredensyal ang naglalakbay sa apat na magkakaibang field

Ang salitang password ay lumilitaw nang dalawang beses sa karamihan ng handover at nangangahulugang dalawang magkaibang bagay. Ang pre-shared key ay nagpapatotoo sa peer mismo, at ito ay isang lihim ng makina na binabasa ng administrator mula sa configuration ng gateway. Ang password ng iyong account ay hiwalay na kredensyal na nagpapatunay kung aling tao ang nasa likod ng peer na iyon.

Ang dalawang iba pang halaga ay mas madaling makaligtaan. Ang group identifier ay ang string na isinulat ng wizard sa IPsec group object, at ang 0 ay isang lehitimong halaga, hindi isang walang laman na field. Sinasaklaw ng proposal ang encryption, hashing at isang Diffie-Hellman group para sa bawat yugto, kasama ang setting ng PFS, at bawat item dito ay dapat tumugma sa gateway. Kapag nabigo ang koneksyon sa yugto 1, halos palaging isa sa apat na iyon ang may kasalanan, kaya isulat sila nang hiwalay sa halip na itapon sa isang dialog.

Ano ang dapat taglayin ng bawat field ng vpnc

I-install ang client kasama ang editor front end, pagkatapos ay gumawa ng VPNC connection:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Itakda ang gateway sa pampublikong address ng FortiGate, at ang pangalan ng grupo nang eksakto sa identifier mula sa gateway, kasama ang hubad na sero. Group password ay tumatanggap ng pre-shared key, habang ang username at password ay tumatanggap ng iyong account, na may anumang token na idinagdag ayon sa inaasahan ng gateway. Sa advanced na dialog, piliin ang Diffie-Hellman group na pinangalanan ng proposal, itugma ang PFS sa parehong grupo, paganahin ang NAT traversal kapag ang client ay nasa likod ng home router, at iwan ang dead peer detection sa parehong hakbang ng gateway.

Ang pangalan ng grupo ang field na nilalaktawan, dahil mukhang opsyonal ito at ang default na sero ay parang placeholder. Ipadala itong blangko at ang client ay magpapadala ng ibang identifier kaysa sa sinusuri ng gateway. Kung nabigo pa rin ang profile, ihambing ang mga advanced na halaga sa gumaganang Windows client at hindi sa isang forum post para sa ibang site.

Ang parehong profile na isinulat para sa strongSwan

Ang strongSwan ang mas mabuting pangmatagalang lalagyan para sa mga halagang ito, dahil ang configuration ay isang text file na maaari mong suriin at itago:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Basahin ang mga linya ng proposal bago ang block, dahil binabago ng exclamation mark sa dulo ang kanilang kahulugan: ipinipit nito ang nag-iisang proposal na iyon at tinatanggal ang mga alternatibong iaalok sana ng client. Ang gateway na naka-configure para sa isang pares ng transformation ay tatanggihan ang client na bumubukas nang may listahan, kaya ang pagpinit ang nagpapalit ng negosasyon tungo sa tugma. Kunin ang eksaktong mga pangalan ng algorithm mula sa gumaganang gateway profile, at palitan ang mga placeholder ng sarili mong halaga.

Ang dalawang linya ng authentication ay hindi kalabisan. Ang PSK ay nagpapatunay sa peer, ang XAuth block ay nagpapatunay sa user, at ang pag-alis ng alinman ay nag-iiwan ng yugtong hindi tatapusin ng gateway.

Basahin ang kabiguan bago magpalit ng isa pang field

Magtrabaho pabalik mula sa sintomas sa halip na random na baguhin muli ang dialog. Ang IKE SA na bumabangon nang walang itinalagang address ay nangangahulugang nabigo o hindi tumakbo kailanman ang palitan ng authentication ng user, kaya suriin ang account at ang paghawak ng token. Ang yugto 1 na hindi natatapos ay tumuturo sa proposal, group identifier o aggressive mode, at bawat isa sa mga ito ay inihahambing sa gateway, hindi lamang sa Windows client.

Ang tunnel na nagtatagumpay at pagkatapos ay namamatay tuwing ilang minuto ay hindi pagkakasundo sa dead peer detection sa pagitan ng dalawang dulo; itugma ang timer ng gateway sa halip na patayin ang keepalives sa lahat ng dako. Ang naitatag na tunnel kung saan nananatiling hindi maabot ang mga host sa opisina ay karaniwang nangangahulugang hindi kailanman nakarating sa lokal na routing table ang itinulak na subnet, na maaaring hindi gawin ng third-party client nang mag-isa.

Kapag tapos ka na, ibalik ang gumaganang mga halaga sa may-ari ng gateway: protocol, group identifier, pre-shared key, proposal, PFS at ang desisyon sa DPD. Ang susunod na Linux machine ay tatagal ng ilang minuto sa halip na isang gabi, at walang kailangang muling tumuklas na sero ang pangalan ng grupo.