El secret de grup de vpnc o el teu inici de sessió: quin camp accepta què?
Un perfil de vpnc demana un ID de grup, un secret de grup i un inici de sessió XAuth, i la gent posa la contrasenya del compte a la casella equivocada. Assigna cada camp segons la seva funció.
La primera vegada que algú et passa un perfil de vpnc, el diàleg de credencials pregunta quatre coses i sembla que vulgui una sola contrasenya. No és així: el secret de grup compartit prèviament i l'inici de sessió individual XAuth són valors separats amb propietaris separats, i posar la contrasenya del compte al camp de grup produeix un error que sembla una contrasenya dolenta més que no pas una casella equivocada. Encertar el mapa és tota la feina aquí. El protocol que hi ha a sota és el projecte de migració d'una altra persona, i per això res d'això no és un argument per construir túnels IKEv1 nous.
Dos secrets, dos propietaris, un diàleg
El secret de grup pertany al perfil de la passarel·la. Tothom que es connecta per aquest perfil fa servir el mateix valor, i és exactament per això que no pot identificar una persona ni es pot retirar d'un portàtil sense canviar-lo per a tots els altres usuaris del perfil. En canvi, el nom d'usuari i la contrasenya XAuth pertanyen a la persona, i la passarel·la els avalua en una segona etapa, quan l'associació IPsec ja està aixecada.
Aquesta forma de dues etapes és el que la gent passa per alt. L'establiment del túnel i l'autenticació de l'usuari són intercanvis diferents amb entrades diferents, així que un client que no arriba mai a la petició de credencials no ha fallat gens en l'inici de sessió. Llegeix el diàleg com dues columnes i no com una: valors de tot el perfil a l'esquerra, valors personals a la dreta. Quan una connexió falla, la columna que has omplert més recentment no és automàticament la columna culpable.
Assigna els camps per funció, no per etiqueta
vpnc anomena les seves directrius a la documentació del projecte, i cada interfície gràfica les rebateja. Tradueix la funció de cada valor i les etiquetes deixen de tenir importància:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Una interfície que mostra «Nom d'usuari» i «Contrasenya» al costat d'un camp de grup no és incorrecta — són els mateixos tres valors amb noms diferents. El que es trenca és omplir una casella perquè un valor hi encaixa. Un secret de grup enganxat com a contrasenya d'usuari autentica el perfil i després falla a l'etapa d'usuari; una contrasenya de compte enganxada com a secret de grup falla abans, abans de qualsevol petició, i envia la gent a mirar tallafocs per un problema que viu en un camp de text.
Què no és un identificador de grup
La paraula grup convida a una lectura equivocada. Un identificador de grup aquí és un selector que diu a la passarel·la quina configuració de perfil aplicar; no diu res sobre la pertinença al directori, i un nom coincident als dos costats és una casualitat fins que l'operador ho confirmi. L'autorització passa després que XAuth tingui èxit, la decideix allò que la passarel·la estigui configurada per consultar, i res d'això no es veu al diàleg del client.
La mateixa precaució s'aplica al secret de grup. Conèixer-lo no és una identitat, i fer circular un sol secret per un equip és una decisió operativa amb conseqüències que el client no et pot mostrar.
Resol la instrucció ambigua abans de connectar
Les notes de traspàs heretades sovint contenen una línia com «fes servir la IP pública dedicada». Aquesta frase pot significar l'adreça des de la qual una llista d'autoritzacions de l'altre costat espera que arribi el teu trànsit, que és una propietat de sortida de la xarxa de l'operador i no té res a veure amb el punt final que escrius al camp de la passarel·la. Pregunta quin dels dos vol dir abans que el valor vagi enlloc. Omplert al revés, envia cada paquet a una adreça que no respon mai, i el temps d'espera resultant sembla un port bloquejat.
Demana quatre coses pel canal verificat de l'organització: quin client i protocol són compatibles, quin punt final fer servir, quina identitat presentarà la passarel·la i com es lliuren les credencials. Mantingues els secrets reals fora de captures de pantalla, tiquets i notes compartides de resolució de problemes. No desactivis les comprovacions de certificats ni enganxis una llista de xifratges antiga per fer que un servei configurat d'una altra manera sembli compatible, perquè una connexió que només funciona debilitant la verificació no és la connexió que t'han demanat construir.
Mantingues honest el perfil heretat
IKEv1 està obsolet, i RFC 9395 és el document que cal citar quan sorgeix la qüestió de la migració. Un mapatge de camps correcte no és prova que el protocol pertanyi a un disseny nou; el que compra és una connexió funcional mentre es programa el reemplaçament, més un abast escrit i un propietari per a aquesta migració.
Després verifica contra el requisit i no contra el diàleg. Un cop connectat, confirma que la interfície del túnel té l'adreça esperada i que una destinació interna hi passa; si el requisit original anomenava una adreça de sortida per a una llista d'autoritzacions, confirma també aquesta adreça, perquè és un fet diferent del túnel estant aixecat. Un perfil que s'autentica correctament i no encamina res ha fallat igualment la tasca per a la qual es va crear.