vpnc qrup sirri, yoxsa girişiniz: hansı sahə nəyi qəbul edir?
vpnc profili qrup ID-si, qrup sirri və XAuth girişi istəyir, insanlar isə hesab parolunu səhv xanaya yazır. Hər sahəni roluna görə xəritələyin.
Kimsə sizə ilk dəfə vpnc profili verdikdə, etimad pəncərəsi dörd şey soruşur və sanki bir parol istəyirmiş kimi görünür. Belə deyil: qrup üçün əvvəlcədən paylaşılmış sirr və fərdi XAuth girişi ayrı sahiblərə məxsus ayrı dəyərlərdir, hesab parolunu qrup sahəsinə qoymaq isə səhv xana deyil, pis parol kimi görünən uğursuzluq verir. Bu xəritəni düzgün qurmaq buradakı bütün işdir. Altındakı protokol başqasının miqrasiya layihəsidir, buna görə bunların heç biri yeni IKEv1 tunelləri qurmaq üçün arqument deyil.
İki sirr, iki sahib, bir pəncərə
Qrup sirri şlüz profilinin mülkiyyətidir. Həmin profil vasitəsilə qoşulan hər kəs eyni dəyəri istifadə edir, buna görə də o, nə bir şəxsi müəyyən edə bilər, nə də profilin bütün digər istifadəçiləri üçün dəyişdirilmədən bir noutbukdan geri götürülə bilər. XAuth istifadəçi adı və parolu isə insana aiddir və şlüz onları IPsec assosiasiyası artıq qurulduqdan sonra ikinci mərhələdə yoxlayır.
İnsanların qaçırdığı məhz bu iki mərhələli formadır. Tunel qurulması və istifadəçi autentifikasiyası fərqli girişlərlə fərqli mübadilələrdir, ona görə də etimad sorğusuna heç vaxt çatmayan müştəri girişdə ümumiyyətlə uğursuz olmayıb. Pəncərəni bir yox, iki sütun kimi oxuyun: solda profil üzrə dəyərlər, sağda şəxsi dəyərlər. Bağlantı uğursuz olduqda, ən son doldurduğunuz sütun avtomatik olaraq günahkar sütun deyil.
Sahələri etiketə görə yox, rola görə xəritələyin
vpnc öz direktivlərini layihə sənədlərində adlandırır və hər qrafik ön hissə onları yenidən etiketləyir. Hər dəyərin rolunu tərcümə edin, o zaman etiketlərin əhəmiyyəti qalmır:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Qrup sahəsinin yanında «İstifadəçi adı» və «Parol» göstərən ön hissə səhv deyil — bunlar fərqli adlar altında eyni üç dəyərdir. Pozulan şey bir dəyər ora sığdığı üçün xananı doldurmaqdır. İstifadəçi parolu kimi yapışdırılan qrup sirri profili autentifikasiya edir, sonra istifadəçi mərhələsində uğursuz olur; qrup sirri kimi yapışdırılan hesab parolu isə daha erkən, hər hansı sorğudan əvvəl uğursuz olur və insanları mətn sahəsində yaşayan problemi güvəndlik divarlarında axtarmağa yönəldir.
Qrup identifikatoru nə deyil
Qrup sözü yanlış oxunuşu təhrik edir. Buradaki qrup identifikatoru şlüzə hansı profil konfiqurasiyasının tətbiq olunacağını deyən seçicidir; kataloq üzvlüyü haqqında heç nə demir və hər iki tərəfdə uyğun ad operator təsdiqləyənə qədər təsadüfdür. Avtorizasiya XAuth uğurlu olduqdan sonra baş verir, şlüzün nə ilə məsləhətləşmək üçün konfiqurasiya edildiyi ilə qərar verilir və bunların heç biri müştəri pəncərəsində görünmür.
Eyni ehtiyat qrup sirrinə də aiddir. Onu bilmək kimlik deyil və bir sirri komanda daxilində dövr etdirmək müştərinin sizə göstərə bilmədiyi nəticələri olan əməliyyat qərarıdır.
Qoşulmadan əvvəl qeyri-müəyyən təlimatı həll edin
Köhnə təhvil qeydlərində tez-tez «ayrılmış ümumi IP-dən istifadə edin» kimi bir sətir olur. Bu ifadə qarşı tərəfdəki icazə siyahısının trafikinizin hansı ünvandan gəlməsini gözlədiyini bildirə bilər, bu operator şəbəkəsinin çıxış xüsusiyyətidir və şlüz sahəsinə yazdığınız son nöqtə ilə heç bir əlaqəsi yoxdur. Dəyər hər hansı yerə getməzdən əvvəl hansının nəzərdə tutulduğunu soruşun. Tərs doldurmaq hər paketi heç vaxt cavab verməyən ünvana göndərir və yaranan taym-aut bloklanmış port kimi oxunur.
Təşkilatın təsdiqlənmiş kanalı ilə dörd şey istəyin: hansı müştəri və protokolun dəstəkləndiyi, hansı son nöqtənin istifadə olunacağı, şlüzün hansı kimliyi təqdim edəcəyi və etimad məlumatlarının necə verildiyi. Əsl sirləri ekran görüntülərindən, biletlərdən və paylaşılan diaqnostika qeydlərindən kənarda saxlayın. Fərqli konfiqurasiya edilmiş xidməti uyğun görünmək üçün sertifikat yoxlamalarını söndürməyin və ya köhnə şifrə siyahısını yapışdırmayın, çünki yalnız yoxlamanı zəiflətməklə işləyən bağlantı sizdən qurmaq istənilən bağlantı deyil.
Köhnə profili dürüst saxlayın
IKEv1 köhnəlmişdir və miqrasiya sualı ortaya çıxdıqda istinad ediləcək sənəd RFC 9395-dir. Uğurlu sahə xəritələməsi protokolun yeni dizayna aid olduğuna dəlil deyil; onun aldığı şey, əvəzləmə planlaşdırılana qədər işləyən bağlantı, üstəgəl yazılı əhatə dairəsi və həmin miqrasiya üçün sahibdir.
Sonra pəncərəyə qarşı deyil, tələbə qarşı yoxlayın. Qoşulduqdan sonra tunel interfeysinin gözlənilən ünvanı saxladığını və daxili təyinatın onun vasitəsilə marşrutlaşdığını təsdiqləyin; ilkin tələb icazə siyahısı üçün çıxış ünvanı adlandırmışdısa, həmin ünvanı da təsdiqləyin, çünki bu tunelin işləməsindən fərqli bir faktdır. Düzgün autentifikasiya edib heç nə marşrutlaşdırmayan profil hələ də yaradıldığı tapşırığı yerinə yetirməyib.