Linux پر FortiGate IPsec: کون سا کلائنٹ واقعی جڑتا ہے

آپ کا Windows ساتھی FortiGate وزرڈ پروفائل درآمد کرتا ہے اور ایک منٹ میں آن لائن ہو جاتا ہے۔ آپ Ubuntu پر وہی وینڈر پیکج انسٹال کرتے ہیں، IPsec ٹیب ڈھونڈتے ہیں، اور ایسا کلائنٹ ملتا ہے جو صرف SSL VPN پورٹل کھولنا جانتا ہے۔ اس کے بعد جو نتیجہ نکالا جاتا ہے وہ عام طور پر دو طرح سے غلط ہوتا ہے: گیٹ وے آپ کو مسترد نہیں کر رہا، اور Linux بلڈ خراب نہیں ہے۔ Fortinet وہ کلائنٹ صرف SSL VPN سپورٹ کے ساتھ بھیجتا ہے، اس لیے موبائل IPsec پروفائل کے رہنے کی جگہ نہیں ہے اور اسے وہاں دوبارہ بنانا پڑتا ہے جہاں IKEv1 بولا جاتا ہے۔

پہلے طے کریں کہ آپ کو اصل میں کون سا پروٹوکول دیا گیا ہے

وہ دوبارہ تعمیر میکانیکی ہے جیسے ہی آپ وینڈر کلائنٹ کو حوالہ عمل کے طور پر لینا چھوڑ دیں۔

FortiGate ڈیوائسز SSL VPN اور IPsec دونوں شائع کرتی ہیں، اور حوالگی ای میل شاذ و نادر ہی بتاتی ہے کہ آپ کو کون سا دیا گیا۔ پورٹل URL کے ساتھ براؤزر طرز کا لاگ ان صفحہ یعنی SSL VPN، اور Linux پر وہاں جواب openfortivpn ہے، نیچے دیا گیا فیلڈ میپنگ نہیں۔ گروپ شناخت کنندہ کے ساتھ پہلے سے شیئر کی گئی کلید یعنی موبائل IPsec، جسے vpnc اور strongSwan سنبھالتے ہیں۔

اس میں غلطی کرنا ہی Linux کی کوشش کے پہلے مرحلے سے پہلے مرنے کی سب سے عام وجہ ہے: کلائنٹ HTTPS پورٹل کو IKEv1 پیش کر رہا ہے یا اس کے برعکس. کچھ بھی انسٹال کرنے سے پہلے منتظم سے پروٹوکول کا نام تحریری طور پر مانگیں۔

چار اسناد چار مختلف فیلڈز میں سفر کرتی ہیں

password کا لفظ زیادہ تر حوالگیوں میں دو بار آتا ہے اور دو مختلف چیزیں بتاتا ہے۔ پہلے سے شیئر کی گئی کلید خود ساتھی کی تصدیق کرتی ہے، اور یہ مشین کا راز ہے جو منتظم گیٹ وے کنفیگریشن سے پڑھتا ہے۔ آپ کے اکاؤنٹ کا پاس ورڈ الگ اسناد ہے جو ثابت کرتی ہے کہ اس ساتھی کے پیچھے کون سا انسان ہے۔

باقی دو قدریں چھوڑنا آسان ہے۔ گروپ شناخت کنندہ وہ تار ہے جو وزرڈ نے IPsec گروپ آبجیکٹ میں لکھا، اور 0 خالی فیلڈ نہیں بلکہ جائز قدر ہے۔ تجویز ہر مرحلے کے لیے انکرپشن، ہیشنگ اور Diffie-Hellman گروپ کے ساتھ PFS سیٹنگ بھی محیط ہے، اور اس کی ہر شے گیٹ وے سے میل کھانی چاہیے۔ جب کنکشن 1 مرحلے میں ناکام ہو، تقریباً ہمیشہ ان چار میں سے ایک قصوروار ہوتا ہے، اس لیے انہیں ایک ہی ڈائیلاگ میں ڈالنے کے بجائے الگ لکھیں۔

ہر vpnc فیلڈ میں کیا ہونا چاہیے

کلائنٹ کو ایڈیٹر فرنٹ اینڈ کے ساتھ انسٹال کریں، پھر VPNC کنکشن بنائیں:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

گیٹ وے کو FortiGate کے عوامی پتے پر رکھیں، اور گروپ نام کو ٹھیک گیٹ وے کے شناخت کنندہ پر، ننگے صفر سمیت رکھیں۔ Group password پہلے سے شیئر کی گئی کلید لیتا ہے، جبکہ صارف نام اور پاس ورڈ آپ کا اکاؤنٹ لیتے ہیں، کوئی بھی ٹوکن گیٹ وے کی توقع کے مطابق شامل کیا جاتا ہے۔ ایڈوانسڈ ڈائیلاگ میں، وہ Diffie-Hellman گروپ منتخب کریں جس کا نام تجویز لیتی ہے، PFS کو اسی گروپ سے ملائیں، جب کلائنٹ گھریلو راؤٹر کے پیچھے ہو تو NAT ٹریورسل فعال کریں، اور ڈیڈ پیئر ڈیٹیکشن کو گیٹ وے کے ساتھ ایک ہی قدم پر رکھیں۔

گروپ نام وہ فیلڈ ہے جو چھوڑ دیا جاتا ہے، کیونکہ یہ اختیاری لگتا ہے اور ڈیفالٹ صفر پلیس ہولڈر جیسا لگتا ہے۔ اسے خالی بھیجیں تو کلائنٹ گیٹ وے کے تصدیق شدہ شناخت کنندہ سے مختلف شناخت کنندہ بھیجتا ہے۔ اگر پروفائل پھر بھی ناکام ہو، تو ایڈوانسڈ قدروں کا موازنہ کسی دوسری سائٹ کی فورم پوسٹ سے نہیں بلکہ چلنے والے Windows کلائنٹ سے کریں۔

وہی پروفائل strongSwan کے لیے لکھا گیا

ان قدروں کے لیے strongSwan بہتر طویل مدتی ظرف ہے، کیونکہ کنفیگریشن ایک متنی فائل ہے جس کا آپ جائزہ لے سکتے ہیں اور اسے رکھ سکتے ہیں:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

بلاک سے پہلے تجویز کی سطریں پڑھیں، کیونکہ آخر میں آنے والا فجائیہ نشان ان کا مطلب بدل دیتا ہے: یہ اسی ایک تجویز کو پن کرتا ہے اور وہ متبادل ہٹا دیتا ہے جو کلائنٹ ورنہ پیش کرتا۔ ایک ہی ٹرانسفارم جوڑی کے لیے کنفیگر شدہ گیٹ وے فہرست کے ساتھ کھلنے والے کلائنٹ کو مسترد کرے گا، اس لیے پن کرنا ہی بات چیت کو مطابقت میں بدلتا ہے. چلنے والے گیٹ وے پروفائل سے الگورتھم کے درست نام لیں، اور پلیس ہولڈرز کو اپنی قدروں سے بدلیں۔

تصدیق کی دونوں سطریں غیر ضروری نہیں۔ PSK ساتھی کو ثابت کرتا ہے، XAuth بلاک صارف کو، اور ان میں سے کوئی بھی چھوڑنے سے ایسا مرحلہ رہ جاتا ہے جو گیٹ وے مکمل نہیں کرے گا۔

دوسرا فیلڈ بدلنے سے پہلے ناکامی پڑھیں

ڈائیلاگ کو دوبارہ بے ترتیب کرنے کے بجائے علامت سے پیچھے کی طرف کام کریں۔ بغیر مختص پتے کے اوپر آنے والا IKE SA یعنی صارف کی تصدیق کا تبادلہ ناکام ہوا یا کبھی چلا ہی نہیں، اس لیے اکاؤنٹ اور ٹوکن کی سنبھال جانچیں۔ کبھی مکمل نہ ہونے والا 1 مرحلہ تجویز، گروپ شناخت کنندہ یا جارحانہ موڈ کی طرف اشارہ کرتا ہے، اور ان میں سے ہر ایک کا موازنہ صرف Windows کلائنٹ سے نہیں بلکہ گیٹ وے سے ہوتا ہے۔

جو سرنگ قائم ہو کر پھر ہر چند منٹ میں مر جاتی ہے وہ دونوں سروں کے درمیان ڈیڈ پیئر ڈیٹیکشن کا اختلاف ہے؛ ہر جگہ keepalive بند کرنے کے بجائے گیٹ وے کے ٹائمر سے ملائیں۔ قائم شدہ سرنگ میں اگر دفتر کے میزبان ناقابل رسائی رہیں تو عام طور پر اس کا مطلب ہے کہ دھکیلی گئی ذیلی نیٹ کبھی مقامی روٹنگ جدول میں نہیں پہنچی، جو تیسرے فریق کا کلائنٹ خود نہ کرے۔

کام مکمل ہونے پر چلنے والی قدریں گیٹ وے کے مالک کو واپس دیں: پروٹوکول، گروپ شناخت کنندہ، پہلے سے شیئر کی گئی کلید، تجویز، PFS اور DPD کا فیصلہ۔ تب اگلی Linux مشین پوری شام کے بجائے چند منٹ لے گی، اور کسی کو دوبارہ دریافت نہیں کرنا پڑے گا کہ گروپ کا نام صفر تھا۔