FortiGate IPsec Linux'ta: hangi istemci gerçekten bağlanır

Windows'taki meslektaşınız bir FortiGate sihirbaz profili içe aktarır ve bir dakikada çevrimiçi olur. Siz aynı satıcı paketini Ubuntu'ya kurar, bir IPsec sekmesi arar ve yalnızca bir SSL VPN portalı açmayı bilen bir istemci bulursunuz. Bunu izleyen sonuç genellikle iki kez yanlıştır: ağ geçidi sizi reddetmiyor ve Linux derlemesi bozuk değil. Fortinet o istemciyi yalnızca SSL VPN desteğiyle gönderir, bu yüzden mobil IPsec profilinin yaşayacak yeri yoktur ve IKEv1 konuşulan bir yerde yeniden kurulmalıdır.

Önce size gerçekte hangi protokolün verildiğine karar verin

Satıcı istemcisini referans uygulama olarak görmeyi bıraktığınızda bu yeniden kurulum mekanik bir iştir.

FortiGate cihazları hem SSL VPN hem de IPsec yayınlar ve devir e-postası hangisinin verildiğini nadiren söyler. Bir portal URL'si artı tarayıcı tarzı oturum açma sayfası SSL VPN anlamına gelir ve Linux'ta oradaki yanıt openfortivpn'dir, aşağıdaki alan eşlemesi değil. Bir grup tanımlayıcısı artı önceden paylaşılan anahtar mobil IPsec anlamına gelir; bunu vpnc ve strongSwan yönetir.

Burada hata yapmak, bir Linux denemesinin ilk aşama tamamlanmadan ölmesinin en yaygın nedenidir: istemci bir HTTPS portalına IKEv1 sunuyor ya da tersi. Herhangi bir şey kurmadan önce yöneticiden protokolün adını yazılı olarak isteyin.

Dört kimlik bilgisi dört ayrı alanda yolculuk eder

password sözcüğü çoğu devirde iki kez geçer ve iki farklı şeyi anlatır. Önceden paylaşılan anahtar eşin kendisini doğrular ve yöneticinin ağ geçidi yapılandırmasından okuduğu makine sırrıdır. Hesap parolanız ise o eşin arkasında hangi insanın olduğunu kanıtlayan ayrı bir kimlik bilgisidir.

Diğer iki değeri kaçırmak daha kolaydır. Grup tanımlayıcısı, sihirbazın IPsec grup nesnesine yazdığı dizedir ve 0 boş alan değil geçerli bir değerdir. Teklif her aşama için şifreleme, karma ve bir Diffie-Hellman grubunun yanı sıra PFS ayarını kapsar ve içindeki her öğe ağ geçidiyle uyuşmalıdır. Bağlantı 1. aşamada başarısız olduğunda neredeyse her zaman o dördünden biri suçludur, bu yüzden onları tek bir iletişim kutusuna dökmek yerine ayrı ayrı not edin.

Her vpnc alanının ne içermesi gerekir

İstemciyi düzenleyici ön ucuyla birlikte kurun ve ardından bir VPNC bağlantısı oluşturun:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Ağ geçidini FortiGate'in genel adresine, grup adını da ağ geçidindeki tanımlayıcıya tam olarak, çıplak sıfır dahil ayarlayın. Group password önceden paylaşılan anahtarı alır, kullanıcı adı ve parola ise hesabınızı alır; varsa belirteç ağ geçidinin beklediği gibi eklenir. Gelişmiş iletişim kutusunda teklifin adlandırdığı Diffie-Hellman grubunu seçin, PFS'i aynı gruba eşleyin, istemci bir ev yönlendiricisinin arkasındayken NAT geçişini etkinleştirin ve ölü eş algılamayı ağ geçidiyle aynı adımda bırakın.

Grup adı atlanan alandır, çünkü isteğe bağlı görünür ve varsayılan sıfır bir yer tutucuya benzer. Boş gönderin ve istemci ağ geçidinin doğruladığından farklı bir tanımlayıcı iletir. Profil hâlâ başarısız olursa gelişmiş değerleri başka bir site için forum gönderisiyle değil, çalışan Windows istemcisiyle karşılaştırın.

Aynı profilin strongSwan için yazılmış hâli

Bu değerler için strongSwan daha iyi bir uzun vadeli kaptır, çünkü yapılandırma gözden geçirip saklayabileceğiniz bir metin dosyasıdır:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Bloktan önce teklif satırlarını okuyun, çünkü sondaki ünlem işareti anlamlarını değiştirir: yalnızca o teklifi sabitler ve istemcinin aksi hâlde sunacağı alternatifleri kaldırır. Tek bir dönüşüm çifti için yapılandırılmış bir ağ geçidi, listeyle açılan bir istemciyi reddeder, bu yüzden sabitleme görüşmeyi eşleşmeye çeviren şeydir. Algoritma adlarını çalışan ağ geçidi profilinden tam olarak alın ve yer tutucuları kendi değerlerinizle değiştirin.

İki kimlik doğrulama satırı gereksiz değildir. PSK eşi, XAuth bloğu kullanıcıyı kanıtlar ve herhangi birini çıkarmak ağ geçidinin tamamlamayacağı bir aşama bırakır.

Başka bir alanı değiştirmeden önce hatayı okuyun

İletişim kutusunu yeniden rastgele değiştirmek yerine belirtiden geriye doğru çalışın. Atanmış adres olmadan yükselen bir IKE SA, kullanıcı kimlik doğrulama değişiminin başarısız olduğu ya da hiç çalışmadığı anlamına gelir, bu yüzden hesabı ve belirteç işlemeyi kontrol edin. Hiç bitmeyen 1. aşama teklife, grup tanımlayıcısına veya agresif moda işaret eder ve bunların her biri yalnızca Windows istemcisiyle değil, ağ geçidiyle karşılaştırılır.

Kurulup sonra birkaç dakikada bir ölen bir tünel, iki uç arasında ölü eş algılaması anlaşmazlığıdır; keepalive'ları her yerde kapatmak yerine ağ geçidinin zamanlayıcısıyla eşleyin. Kurulmuş bir tünelde ofis ana bilgisayarları erişilemez kalıyorsa, bu genellikle itilen alt ağın yerel yönlendirme tablosuna hiç girmediği anlamına gelir; üçüncü taraf bir istemci bunu kendi başına yapmayabilir.

Bitirdiğinizde çalışan değerleri ağ geçidinin sahibine geri verin: protokol, grup tanımlayıcısı, önceden paylaşılan anahtar, teklif, PFS ve DPD kararı. O zaman sonraki Linux makinesi bir akşam yerine birkaç dakika sürer ve kimse grup adının sıfır olduğunu yeniden keşfetmek zorunda kalmaz.