vpnc grupna tajna ili vaša prijava: koje polje šta prima?

Kada vam neko prvi put preda vpnc profil, dijalog za vjerodajnice pita četiri stvari i izgleda kao da želi jednu lozinku. Ne želi: grupna unaprijed podijeljena tajna i pojedinačna XAuth prijava su odvojene vrijednosti s odvojenim vlasnicima, a stavljanje lozinke računa u grupno polje daje grešku koja izgleda kao loša lozinka, a ne kao pogrešno polje. Ispravno razvrstavanje je cijeli zadatak ovdje. Protokol ispod je tuđi projekt migracije, zato ništa od ovoga nije argument za gradnju novih IKEv1 tunela.

Dvije tajne, dva vlasnika, jedan dijalog

Grupna tajna pripada profilu mrežnog prolaza. Svi koji se povezuju preko tog profila koriste istu vrijednost, i upravo zato ona ne može identificirati osobu i ne može se povući s jednog prijenosnika bez promjene za sve ostale korisnike profila. XAuth korisničko ime i lozinka pripadaju čovjeku, a prolaz ih provjerava u drugoj fazi, nakon što je IPsec asocijacija već uspostavljena.

Dvofazni oblik je ono što ljudi propuštaju. Uspostavljanje tunela i autentifikacija korisnika različite su razmjene s različitim ulazima, pa klijent koji nikad ne dođe do upita za vjerodajnice uopće nije pao na prijavi. Čitajte dijalog kao dvije kolone, a ne jednu: vrijednosti na razini profila lijevo, lične vrijednosti desno. Kada veza padne, kolona koju ste zadnju popunili nije automatski kriva.

Razvrstajte polja po ulozi, ne po oznaci

vpnc imenuje svoje direktive u projektnoj dokumentaciji, a svako grafičko sučelje ih preimenuje. Prevedite ulogu svake vrijednosti i oznake prestaju biti važne:

Sučelje koje pokazuje „Korisničko ime“ i „Lozinku“ pored grupnog polja nije pogrešno — to su iste tri vrijednosti pod različitim imenima. Ono što se kvari jest popunjavanje polja zato što vrijednost u njega stane. Grupna tajna zalijepljena kao korisnička lozinka autentificira profil, a zatim pada na korisničkoj fazi; lozinka računa zalijepljena kao grupna tajna pada ranije, prije ikakvog upita, i šalje ljude da traže problem u vatrozidima, iako on živi u tekstualnom polju.

Šta grupni identifikator nije

Riječ grupa navodi na pogrešno čitanje. Grupni identifikator ovdje je selektor koji govori prolazu koju konfiguraciju profila primijeniti; on ne govori ništa o članstvu u imeniku, a podudarno ime na obje strane je slučajnost dok ga operater ne potvrdi. Autorizacija se događa nakon uspješnog XAutha, odlučuje je ono s čime je prolaz konfiguriran da se konsultuje, i ništa od toga nije vidljivo u klijentskom dijalogu.

Isto se upozorenje odnosi na grupnu tajnu. Znati je nije identitet, a kruženje jedne tajne po timu je operativna odluka s posljedicama koje vam klijent ne može prikazati.

Razriješite dvosmislenu uputu prije povezivanja

Zabilješke o primopredaji naslijeđa često sadrže redak poput „koristite namjenski javni IP“. Ta fraza može značiti adresu s koje popis dozvola na drugoj strani očekuje dolazak vašeg prometa, što je izlazno svojstvo mreže operatera i nema veze s odredištem koje upisujete u polje prolaza. Pitajte koje se od dva misli prije nego vrijednost bilo kamo ode. Popunjena obrnuto, šalje svaki paket na adresu koja nikad ne odgovara, a rezultirajući tajmaut izgleda kao blokiran port.

Zatražite četiri stvari preko verificiranog kanala organizacije: koji klijent i protokol su podržani, koje odredište koristiti, koji identitet će prolaz predstaviti i kako se predaju vjerodajnice. Držite prave tajne izvan snimaka ekrana, tiketa i zajedničkih bilješki za rješavanje problema. Ne isključujte provjere certifikata i ne lijepite stari popis šifri da bi drugačije konfigurirana usluga izgledala kompatibilna, jer veza koja radi samo slabljenjem provjere nije veza koju su vam tražili da izgradite.

Čuvajte naslijeđeni profil iskrenim

IKEv1 je zastario, a RFC 9395 je dokument koji se citira kad se pojavi pitanje migracije. Uspješno razvrstavanje polja nije dokaz da protokol pripada novom dizajnu; ono kupuje radnu vezu dok se zamjena ne zakaže, plus pisani obim i vlasnika te migracije.

Zatim provjerite prema zahtjevu, a ne prema dijalogu. Nakon povezivanja potvrdite da sučelje tunela ima očekivanu adresu i da unutrašnje odredište ide kroz njega; ako je izvorni zahtjev imenovao izlaznu adresu za popis dozvola, potvrdite i tu adresu, jer je to drugačija činjenica od toga da je tunel podignut. Profil koji se ispravno autentificira i ništa ne usmjerava ipak nije izvršio zadatak zbog kojeg je stvoren.