Skupinové tajemství vpnc, nebo vaše přihlášení: které pole co bere?
Profil vpnc žádá skupinové ID, skupinové tajemství a přihlášení XAuth a lidé vkládají heslo účtu do špatného pole. Přiřaďte každé pole podle jeho role.
Když vám někdo poprvé předá profil vpnc, dialog s přihlašovacími údaji se ptá na čtyři věci a vypadá, jako by chtěl jedno heslo. Nechce: skupinové předem sdílené tajemství a individuální přihlášení XAuth jsou oddělené hodnoty s oddělenými vlastníky a vložení hesla účtu do skupinového pole vyvolá selhání, které vypadá jako špatné heslo, nikoli jako špatné pole. Správné přiřazení je celý úkol. Protokol pod tím je migrační projekt někoho jiného, a proto nic z toho není argument pro stavbu nových tunelů IKEv1.
Dvě tajemství, dva vlastníci, jeden dialog
Skupinové tajemství patří profilu brány. Každý, kdo se přes tento profil připojuje, používá stejnou hodnotu, a právě proto nemůže identifikovat osobu a nelze je odebrat jednomu notebooku, aniž by se změnilo pro všechny ostatní uživatele profilu. Uživatelské jméno a heslo XAuth naopak patří člověku a brána je vyhodnocuje ve druhé fázi, když je asociace IPsec už navázaná.
Právě tuto dvoufázovou podobu lidé přehlížejí. Navázání tunelu a autentizace uživatele jsou různé výměny s různými vstupy, takže klient, který se nikdy nedostane k výzvě k zadání údajů, vůbec neselhal při přihlášení. Čtěte dialog jako dva sloupce, ne jeden: hodnoty platné pro celý profil vlevo, osobní hodnoty vpravo. Když spojení selže, sloupec, který jste vyplnili naposledy, není automaticky ten vadný.
Přiřaďte pole podle role, ne podle popisku
vpnc pojmenovává své direktivy v dokumentaci projektu a každé grafické rozhraní je přejmenovává. Přeložte roli každé hodnoty a popisky přestanou mít význam:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Rozhraní, které vedle skupinového pole ukazuje „Uživatelské jméno“ a „Heslo“, není chybné — jde o stejné tři hodnoty pod jinými názvy. Rozbíjí se to, když se pole vyplní proto, že se do něj hodnota vejde. Skupinové tajemství vložené jako uživatelské heslo profil autentizuje a potom selže ve fázi uživatele; heslo účtu vložené jako skupinové tajemství selže dřív, před jakoukoli výzvou, a posílá lidi hledat problém do firewallů, i když žije v textovém poli.
Co skupinový identifikátor není
Slovo skupina svádí k chybnému čtení. Skupinový identifikátor je zde selektor, který bráně říká, kterou konfiguraci profilu použít; o členství v adresáři neříká nic a shodné jméno na obou stranách je náhoda, dokud je operátor nepotvrdí. Autorizace probíhá po úspěšném XAuth, rozhoduje o ní to, na co je brána nakonfigurována se dotazovat, a nic z toho v klientském dialogu vidět není.
Stejná opatrnost platí pro skupinové tajemství. Znát ho není identita a sdílení jednoho tajemství v týmu je provozní rozhodnutí s důsledky, které vám klient nemůže zobrazit.
Vyřešte nejednoznačný pokyn před připojením
Poznámky při předání staršího systému často obsahují řádek jako „použijte vyhrazenou veřejnou IP“. Ta fráze může znamenat adresu, ze které podle seznamu povolených na druhé straně má váš provoz přicházet, což je výstupní vlastnost sítě operátora a nemá nic společného s koncovým bodem, který zadáváte do pole brány. Než hodnota někam půjde, zeptejte se, které z těch dvou se myslí. Vyplněná obráceně posílá každý paket na adresu, která nikdy neodpovídá, a výsledný časový limit vypadá jako blokovaný port.
Požádejte o čtyři věci ověřeným kanálem organizace: jaký klient a protokol jsou podporovány, jaký koncový bod použít, jakou identitu brána předloží a jak se předávají přihlašovací údaje. Skutečná tajemství držte mimo snímky obrazovky, tikety a sdílené poznámky k řešení potíží. Nevypínejte kontroly certifikátů a nevkládejte starý seznam šifer, abyste jinak nakonfigurovanou službu vydávali za kompatibilní, protože spojení, které funguje jen oslabením ověření, není spojení, které jste měli postavit.
Udržujte starší profil poctivý
IKEv1 je zastaralý a RFC 9395 je dokument, který se cituje, když přijde otázka migrace. Úspěšné přiřazení polí není důkaz, že protokol patří do nového návrhu; kupuje funkční spojení, dokud se naplánuje náhrada, plus písemný rozsah a vlastníka té migrace.
Pak ověřujte proti požadavku, ne proti dialogu. Po připojení potvrďte, že rozhraní tunelu má očekávanou adresu a že vnitřní cíl přes něj směruje; pokud původní požadavek jmenoval výstupní adresu pro seznam povolených, potvrďte i tu adresu, protože je to jiný fakt než to, že tunel běží. Profil, který se správně autentizuje a nic nesměruje, přesto nesplnil úkol, pro který vznikl.