Linuxda FortiGate IPsec: qaysi klient haqiqatan ulanadi

Windowsdagi hamkasbingiz FortiGate ustasi profilini import qiladi va bir daqiqada onlayn bo'ladi. Siz Ubuntu'ga o'sha yetkazib beruvchining paketini o'rnatasiz, IPsec yorlig'ini qidirasiz va faqat SSL VPN portalini ochishni biladigan klient topasiz. Bundan keladigan xulosa odatda ikki tomondan xato: shlyuz sizni rad etmayapti va Linux qurilishi buzilmagan. Fortinet bu klientni faqat SSL VPN qo'llab-quvvatlashi bilan yuboradi, shuning uchun mobil IPsec profiliga yashash joyi yo'q va uni IKEv1 gaplashadigan joyda qayta qurish kerak.

Avval sizga qaysi protokol berilganini aniqlang

Yetkazib beruvchi klientini namuna amalga oshirish deb qarashni to'xtatganingizdan keyin bu qayta qurish mexanik ish.

FortiGate qurilmalari SSL VPN va IPsec ikkalasini ham e'lon qiladi, topshirish xati esa qaysi biri berilganini kamdan-kam aytadi. Portal URL bilan brauzer uslubidagi kirish sahifasi SSL VPN degani, Linuxda esa u yerda javob openfortivpn, quyidagi maydon mosligi emas. Guruh identifikatori bilan oldindan bo'lishilgan kalit mobil IPsec degani, uni vpnc va strongSwan boshqaradi.

Bu yerda xato qilish Linux urinishining birinchi bosqich tugamasdan o'lishining eng ko'p uchraydigan sababi: klient HTTPS portaliga IKEv1 taklif qilmoqda yoki teskarisi. Biror narsa o'rnatishdan oldin administratoradan protokol nomini yozma ravishda so'rang.

To'rt guvohnoma to'rt xil maydonda sayohat qiladi

password so'zi ko'p topshirishlarda ikki marta uchraydi va ikki xil narsani bildiradi. Oldindan bo'lishilgan kalit sherikning o'zini autentifikatsiya qiladi va bu administrator shlyuz konfiguratsiyasidan o'qiydigan mashina siri. Sizning hisob parolingiz esa o'sha sherik ortida qaysi inson turganini isbotlaydigan alohida guvohnoma.

Qolgan ikki qiymatni o'tkazib yuborish osonroq. Guruh identifikatori — usta IPsec guruh obyektiga yozgan satr, 0 esa bo'sh maydon emas, qonuniy qiymat. Taklif har bir bosqich uchun shifrlash, xeshlash va Diffie-Hellman guruhini, shuningdek PFS sozlamasini qamrab oladi va uning har bir bandi shlyuzga mos kelishi kerak. Ulanish 1-bosqichda muvaffaqiyatsiz bo'lsa, deyarli har doim o'sha to'rtdan biri aybdor, shuning uchun ularni bitta dialogga tashlamasdan alohida yozib qo'ying.

Har bir vpnc maydonida nima bo'lishi kerak

Klientni muharrir interfeysi bilan birga o'rnating, so'ng VPNC ulanishini yarating:

sudo apt install vpnc network-manager-vpnc network-manager-vpnc-gnome

Shlyuzni FortiGate'ning umumiy manziliga, guruh nomini esa shlyuzdagi identifikatorga aynan, yalang'och nol bilan birga qo'ying. Group password oldindan bo'lishilgan kalitni oladi, foydalanuvchi nomi va parol esa hisobingizni oladi, har qanday token shlyuz kutganday qo'shiladi. Kengaytirilgan dialogda taklif nomlagan Diffie-Hellman guruhini tanlang, PFS ni o'sha guruhga moslang, klient uy routeri ortida bo'lsa NAT o'tishini yoqing va o'lik sherikni aniqlashni shlyuz bilan bir qadamda qoldiring.

Guruh nomi — o'tkazib yuboriladigan maydon, chunki u ixtiyoriy ko'rinadi va standart nol o'rin egallovchiga o'xshaydi. Uni bo'sh yuboring va klient shlyuz tekshiradigan identifikatordan boshqasini yuboradi. Profil hali ham muvaffaqiyatsiz bo'lsa, kengaytirilgan qiymatlarni boshqa sayt forum posti bilan emas, ishlayotgan Windows klienti bilan solishtiring.

Xuddi shu profil strongSwan uchun yozilgan

Bu qiymatlar uchun strongSwan yaxshiroq uzoq muddatli idish, chunki konfiguratsiya ko'rib chiqish va saqlash mumkin bo'lgan matn fayli:

conn office-fw
    keyexchange=ikev1
    aggressive=yes
    left=%any
    leftauth=psk
    leftauth2=xauth
    xauth_identity=YOUR_USER
    right=GATEWAY_ADDRESS
    rightauth=psk
    rightsubnet=OFFICE_SUBNET
    ike=aes128-sha1-modp1536!
    esp=aes128-sha1-modp1536!

Blokdan oldin taklif satrlarini o'qing, chunki oxiridagi undov belgisi ularning ma'nosini o'zgartiradi: u o'sha bitta taklifni qadab, klient aks holda taklif qiladigan muqobillarni olib tashlaydi. Bitta o'zgartirish juftligi uchun sozlangan shlyuz ro'yxat bilan ochiladigan klientni rad etadi, shuning uchun qadash muzokarani moslikka aylantiradi. Algoritmlarning aniq nomlarini ishlayotgan shlyuz profilidan oling va o'rin egallovchilarni o'z qiymatlaringiz bilan almashtiring.

Ikki autentifikatsiya satri ortiqcha emas. PSK sherikni, XAuth bloki foydalanuvchini isbotlaydi, va birortasini tashlab ketish shlyuz tugatmaydigan bosqichni qoldiradi.

Yana bir maydonni o'zgartirishdan oldin xatoni o'qing

Dialogni qayta tasodifiy qilish o'rniga simptomdan orqaga qarab ishlang. Berilgan manzilsiz ko'tarilgan IKE SA foydalanuvchi autentifikatsiyasi almashinuvi muvaffaqiyatsiz bo'lganini yoki umuman ishlamaganini bildiradi, shuning uchun hisob va token bilan ishlashni tekshiring. Hech qachon tugamaydigan 1-bosqich taklifga, guruh identifikatoriga yoki agressiv rejimga ishora qiladi va ularning har biri faqat Windows klienti bilan emas, shlyuz bilan solishtiriladi.

O'rnatilgach har bir necha daqiqada o'lib turgan tunnel — ikki uch o'rtasidagi o'lik sherikni aniqlash kelishmovchiligi; keepalive'larni hamma joyda o'chirish o'rniga shlyuz taymeriga moslang. O'rnatilgan tunnelda ofis xostlari yetib bo'lmaydigan bo'lib qolsa, odatda itarilgan quyi tarmoq hech qachon mahalliy marshrutlash jadvaliga tushmaganini bildiradi, buni uchinchi tomon klienti o'zi qilmasligi mumkin.

Tugatgach, ishlayotgan qiymatlarni shlyuz egasiga qaytaring: protokol, guruh identifikatori, oldindan bo'lishilgan kalit, taklif, PFS va DPD qarori. Shunda keyingi Linux mashinasi butun oqshom o'rniga bir necha daqiqa oladi va hech kim guruh nomi nol bo'lganini qaytadan kashf etishga majbur bo'lmaydi.