Сакрэт групы vpnc ці ваш лагін: якое поле што бярэ?
Профіль vpnc запытвае ідэнтыфікатар групы, сакрэт групы і лагін XAuth, а людзі ўводзяць пароль уліковага запісу не ў тое поле. Размяркуйце кожнае поле па яго ролі.
Калі нехта ўпершыню дае вам профіль vpnc, дыялог уліковых даных пытае чатыры рэчы і выглядае так, нібы хоча адзін пароль. Гэта не так: агульны сакрэт групы і індывідуальны лагін XAuth — асобныя значэнні з асобнымі ўладальнікамі, а ўвод пароля ўліковага запісу ў поле групы дае збой, які выглядае як дрэнны пароль, а не як няправільнае поле. Правільнае размеркаванне — і ёсць уся задача тут. Пратакол пад усім гэтым — чужы праект міграцыі, таму нішто з гэтага не аргумент будаваць новыя тунелі IKEv1.
Два сакрэты, два ўладальнікі, адзін дыялог
Сакрэт групы належыць профілю шлюза. Усе, хто падключаецца праз гэты профіль, выкарыстоўваюць адно і тое ж значэнне, менавіта таму яно не можа ідэнтыфікаваць чалавека і не можа быць адабрана ў аднаго ноўтбука без змены для ўсіх астатніх карыстальнікаў профілю. Імя карыстальніка і пароль XAuth належаць чалавеку, і шлюз правярае іх на другой стадыі, калі сувязь IPsec ужо ўсталявана.
Людзі прапускаюць менавіта гэтую двухстадыйную форму. Усталяванне тунеля і аўтэнтыфікацыя карыстальніка — розныя абмены з рознымі ўваходамі, таму кліент, які так і не дайшоў да запыту ўліковых даных, зусім не праваліў лагін. Чытайце дыялог як два слупкі, а не адзін: значэнні профілю злева, асабістыя значэнні справа. Калі злучэнне зрываецца, слупок, які вы запоўнілі апошнім, не абавязкова вінаваты.
Размяркоўвайце палі па ролі, а не па подпісе
vpnc называе свае дырэктывы ў дакументацыі праекта, і кожны графічны інтэрфейс пераймяноўвае іх. Перакладзіце ролю кожнага значэння, і подпісы перастануць мець значэнне:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Інтэрфейс, які паказвае «Імя карыстальніка» і «Пароль» побач з полем групы, не памыляецца — гэта тыя ж тры значэнні пад рознымі назвамі. Ламаецца тое, калі поле запаўняюць таму, што значэнне ў яго падыходзіць. Сакрэт групы, устаўлены як пароль карыстальніка, аўтэнтыфікуе профіль і потым зрываецца на стадыі карыстальніка; пароль уліковага запісу, устаўлены як сакрэт групы, зрываецца раней, да любога запыту, і адпраўляе людзей шукаць праблему ў міжсеткавых экранах, хоць яна ў тэкставым полі.
Чым ідэнтыфікатар групы не з'яўляецца
Слова «група» схіляе да няправільнага чытання. Ідэнтыфікатар групы тут — гэта селектар, які кажа шлюзу, якую канфігурацыю профілю ўжыць; ён нічога не гаворыць пра членства ў каталогу, і супадзенне імёнаў з абодвух бакоў — выпадковасць, пакуль аператар яго не пацвердзіць. Аўтарызацыя адбываецца пасля паспяховага XAuth, яе вызначае тое, з чым шлюз настроены звярацца, і нічога з гэтага не відаць у кліенцкім дыялогу.
Тая ж асцярожнасць датычыцца сакрэту групы. Веданне яго — не ідэнтычнасць, а кручэнне аднаго сакрэту па камандзе — аперацыйнае рашэнне з наступствамі, якія кліент не можа вам паказаць.
Вырашыце неадназначную інструкцыю да падключэння
У нататках аб перадачы спадчыны часта ёсць радок накшталт «выкарыстоўвайце выдзелены публічны IP». Гэтая фраза можа азначаць адрас, з якога спіс дазволаў на іншым баку чакае прыходу вашага трафіку, — гэта ўласцівасць выхаду аператарскай сеткі, і яна не мае нічога агульнага з канчатковай кропкай, якую вы ўводзіце ў поле шлюза. Спытайце, што з двух маецца на ўвазе, перш чым значэнне куды-небудзь пойдзе. Запоўненае наадварот, яно адпраўляе кожны пакет на адрас, які ніколі не адказвае, і атрыманы тайм-аўт выглядае як заблакаваны порт.
Запытайце чатыры рэчы праз правераны канал арганізацыі: які кліент і пратакол падтрымліваюцца, якую канчатковую кропку выкарыстоўваць, якую ідэнтычнасць прадставіць шлюз і як перадаюцца ўліковыя даныя. Трымайце сапраўдныя сакрэты па-за здымкамі экрана, заяўкамі і агульнымі нататкамі па пошуку няспраўнасцей. Не адключайце праверку сертыфікатаў і не ўстаўляйце стары спіс шыфраў, каб па-іншаму настроеная служба здавалася сумяшчальнай, бо злучэнне, якое працуе толькі праз паслабленне праверкі, — не тое злучэнне, якое вас прасілі пабудаваць.
Трымайце спадчынны профіль сумленным
IKEv1 састарэў, і RFC 9395 — дакумент, на які спасылаюцца, калі ўзнікае пытанне міграцыі. Паспяховае размеркаванне палёў не доказ таго, што пратакол месца ў новым дызайне; яно дае працоўнае злучэнне, пакуль замена не запланавана, плюс пісьмовы абсяг і ўладальніка гэтай міграцыі.
Затым правярайце супраць патрабавання, а не супраць дыялогу. Пасля падключэння пераканайцеся, што інтэрфейс тунеля мае чаканы адрас і што ўнутраны пункт прызначэння ідзе праз яго; калі зыходнае патрабаванне называла адрас выхаду для спісу дазволаў, пацвердзіце і гэты адрас, бо гэта іншы факт, чым працоўны тунель. Профіль, які правільна аўтэнтыфікуецца і нічога не маршрутызуе, усё ж не выканаў задачу, для якой быў створаны.