vpnc-groepgeheim of jou aanmelding: watter veld neem wat?
'n vpnc-profiel vra vir 'n groep-ID, 'n groepgeheim en 'n XAuth-aanmelding, en mense gooi die rekeningwagwoord in die verkeerde blok. Karteer elke veld volgens sy rol.
Die eerste keer dat iemand jou 'n vpnc-profiel gee, vra die geloofsbriewe-dialoog vier dinge en lyk dit asof dit een wagwoord wil hê. Dit is nie so nie: 'n groepvoorafgedeelde geheim en 'n individuele XAuth-aanmelding is afsonderlike waardes met afsonderlike eienaars, en om die rekeningwagwoord in die groepsveld te sit lewer 'n fout wat na 'n slegte wagwoord lyk eerder as na 'n verkeerde blok. Om die kartering reg te kry is die hele taak hier. Die protokol onder is iemand anders se migrasieprojek, en daarom is niks hiervan 'n argument om nuwe IKEv1-tonnels te bou nie.
Twee geheime, twee eienaars, een dialoog
'n Groepgeheim behoort aan die gateway-profiel. Almal wat deur daardie profiel verbind, gebruik dieselfde waarde, en dit is juis waarom dit nie 'n persoon kan identifiseer nie en nie vir een skootrekenaar onttrek kan word sonder om dit vir elke ander gebruiker van die profiel te verander nie. Die XAuth-gebruikersnaam en -wagwoord behoort eerder aan die mens, en die gateway evalueer hulle in 'n tweede fase nadat die IPsec-assosiasie reeds op is.
Daardie tweefase-vorm is wat mense miskyk. Tonnelvestiging en gebruikersverifikasie is verskillende uitruilings met verskillende insette, so 'n kliënt wat nooit die geloofsbriewe-oproep bereik nie, het glad nie by die aanmelding misluk nie. Lees die dialoog as twee kolomme eerder as een: profielwye waardes links, persoonlike waardes regs. Wanneer 'n verbinding misluk, is die kolom wat jy die meeste onlangs ingevul het nie outomaties die kolom wat fout is nie.
Karteer die velde volgens rol, nie volgens etiket nie
vpnc noem sy direktiewe in die projekdokumentasie, en elke grafiese frontend herbenoem hulle. Vertaal die rol van elke waarde, dan hou die etikette op om saak te maak:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
'n Frontend wat “Gebruikersnaam” en “Wagwoord” langs 'n groepsveld wys, is nie verkeerd nie — dit is dieselfde drie waardes onder verskillende name. Wat breek, is om 'n blok in te vul omdat 'n waarde daarin pas. 'n Groepgeheim wat as die gebruikerswagwoord geplak word, verifieer die profiel en faal dan by die gebruikersfase; 'n rekeningwagwoord wat as die groepgeheim geplak word, faal vroeër, voor enige oproep, en stuur mense na firewalls om te soek vir 'n probleem wat in 'n teksveld woon.
Wat 'n groepidentifiseerder nie is nie
Die woord groep nooi 'n verkeerde lesing uit. 'n Groepidentifiseerder hier is 'n keurder wat vir die gateway sê watter profielkonfigurasie om toe te pas; dit sê niks oor gidslidmaatskap nie, en 'n ooreenstemmende naam aan beide kante is 'n toeval totdat die operateur dit bevestig. Magtiging gebeur nadat XAuth slaag, besluit deur wat die gateway ook al gekonfigureer is om te raadpleeg, en niks daarvan is in die kliëntdialoog sigbaar nie.
Dieselde versigtigheid geld vir die groepgeheim. Om dit te ken is nie 'n identiteit nie, en om een geheim rond 'n span te sirkuleer is 'n operasionele besluit met gevolge wat die kliënt nie vir jou kan wys nie.
Los die dubbelsinnige opdrag op voordat jy verbind
Erfenis-oordragnotas bevat dikwels 'n reël soos “gebruik die toegewyde openbare IP”. Daardie frase kan die adres beteken waarvan 'n toelatingslys aan die ander kant verwag dat jou verkeer aankom, wat 'n uitgangseienskap van die operateurnetwerk is en niks met die eindpunt te doen het wat jy in die gatewayveld tik nie. Vra watter van die twee bedoel word voordat die waarde enige plek heen gaan. Om dit omgekeerd in te vul stuur elke pakkie na 'n adres wat nooit antwoord nie, en die gevolglike tydverstryking lees soos 'n geblokkeerde poort.
Vra vier dinge deur die organisasie se geverifieerde kanaal: watter kliënt en protokol ondersteun word, watter eindpunt om te gebruik, watter identiteit die gateway sal voorhou, en hoe geloofsbriewe oorhandig word. Hou regte geheime uit skermkiekies, kaartjies en gedeelde probleemoplossingsnotas. Moenie sertifikaatkontroles deaktiveer of 'n ou syferlys plak om 'n anders gekonfigureerde diens versoenbaar te laat lyk nie, want 'n verbinding wat net werk deur verifikasie te verswak is nie die verbinding wat jy gevra is om te bou nie.
Hou die erfenisprofiel eerlik
IKEv1 is verouderd, en RFC 9395 is die dokument om aan te haal wanneer die migrasievraag opkom. 'n Suksesvolle veldkartering is nie bewys dat die protokol in 'n nuwe ontwerp hoort nie; wat dit koop, is 'n werkende verbinding terwyl die vervanging geskeduleer is, plus 'n geskrewe omvang en 'n eienaar vir daardie migrasie.
Verifieer dan teen die vereiste eerder as teen die dialoog. Nadat jy verbind het, bevestig dat die tonnelkoppelvlak die verwagte adres hou en dat 'n interne bestemming daardeur roeteer; as die oorspronklike vereiste 'n uitgangsadres vir 'n toelatingslys genoem het, bevestig daardie adres ook, want dit is 'n ander feit as dat die tonnel op is. 'n Profiel wat korrek verifieer en niks roeteer nie, het steeds die taak gefaal waarvoor dit geskep is.