IKEv1 gyda XAuth ac OTP: beth mae pob anogwr yn ei ofyn
Mae PSK grŵp, cyfnewid XAuth defnyddiwr a her OTP yn dri mewnbwn gwahanol. Cydweddwch bob anogwr â’i berchennog cyn gosod cleient arall.
Nid yw IKEv1 gyda PSK, XAuth ac OTP yn gofyn am un cyfrinair cymhleth. Mae’n haenu allwedd a rennir rhwng cymheiriaid, cyfnewid defnyddiwr, ac ail ffactor y mae’r backend yn penderfynu sut i’w ofyn. Mae gan bob haen ei pherchennog a’i neges methiant ei hun. Mae eu cymysgu yn gwneud i bobl ail-deipio cod un-tro mewn maes sy’n storio cyfrinach grŵp.
Cydweddwch bob anogwr â’r haen sy’n ei ofyn cyn gosod cleient arall neu ailosod manylyn dilysu.
Tri chyfrinach, tri pherchennog
Mae’r allwedd a rennir ymlaen llaw yn perthyn i’r berthynas cymheiriaid ac yn cael ei ffurfweddu unwaith gan bwy bynnag sy’n berchen ar y ddau ben. Mae manylyn dilysu’r defnyddiwr yn perthyn i’r backend dilysu ac yn cael ei ddilysu ar bob mewngofnod. Mae’r ail ffactor yn perthyn i system tocynnau y mae ei hymateb yn newid ar bob ymgais. Nid oes yr un yn disodli’r llall, ac mae defnyddiad sy’n eu trin fel un cyfrinair yn methu yn yr haen na ddogfennodd neb.
Ysgrifennwch dair colofn: perchennog, oes, a’r neges methiant y mae pob un yn ei chynhyrchu. Y tabl hwnnw yw’r offeryn diagnostig, ac nid enwau meysydd y cleient ydyw.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: y cymheiriaid, nid yr unigolyn
Mae’r allwedd a rennir ymlaen llaw yn dilysu’r pâr o borthfeydd yn y drefn hen ffasiwn hon, felly nid yw mewngofnod y defnyddiwr byth yn ei disodli. Dyma hefyd y gwerth sy’n fwyaf tebygol o fod yn anghywir mewn ffordd sy’n cynhyrchu gwall trafod cyffredinol yn lle anogwr. Pan fydd y twnnel yn methu cyn i unrhyw anogwr defnyddiwr ymddangos, yr allwedd neu’r cynigion yw’r rhai dan amheuaeth.
Ni all manylyn dilysu defnyddiwr atgyweirio methiant cyfnod un. Mae ei gylchdroi yn gwastraffu’r un manylyn dilysu y gallwch ei gylchdroi’n ddiogel, ac yn atgyfnerthu’r theori anghywir.
XAuth: y cyfnewid defnyddiwr hen ffasiwn
Mae XAuth yn ychwanegu cyfnewid dilysu defnyddiwr ar ben dilysu cymheiriaid IKEv1, a’r borthffordd sy’n penderfynu pa backend sy’n ei ddilysu. Yn dibynnu ar y backend hwnnw, gall y cyfnewid dderbyn cyfrinair cyfeiriadur, manylyn dilysu RADIUS neu ymateb tocyn. Mae’r gair XAuth yn enwi cludiant y cyfnewid, nid y math o fanylyn dilysu.
Gwiriwch pa backend y mae proffil y porthffordd yn pwyntio ato. Mae hynny’n dweud wrthych beth y gofynnir i’r defnyddiwr amdano a beth mae ailosod cyfrinair yn ei newid mewn gwirionedd, ac nid yw’r naill na’r llall yn weladwy mewn proffil cleient.
OTP: beth bynnag a ofynna’r backend
Mae rhai defnyddiadau yn gofyn am god un-tro ar wahân ar ôl y cyfrinair, ac mae eraill yn diffinio fformat mewnbwn cyfun gyda gwahanydd wedi’i ddogfennu. Mae’r ddau yn bodoli, a’r proffil o’ch blaen sy’n penderfynu pa un. Bathu cyfuniad oherwydd iddo weithio mewn safle arall yw’r ffordd fwyaf cyffredin o losgi tocyn cofrestru. Dogfennaeth y porthffordd ei hun yw’r unig ffynhonnell sy’n setlo hyn.
Defnyddiwch y fformat wedi’i ddogfennu gyda chleient a all gwblhau’r cyfnewid y mae’r porthffordd yn ei gynnig.
Lle mae ffin y cleient yn brathu
Mae Fortinet yn dogfennu nad yw FortiClient 7.4.4 ac uwch yn cefnogi IKEv1 ar gyfer VPN IPsec mwyach, sef ffin cynnyrch a fersiwn yn hytrach na thynnu cyffredinol, fel y mae nodyn cydnawsedd FortiClient yn ei gofnodi. Nid yw cleientiaid eraill yn gyfnewidiol chwaith: mae OpenConnect a openfortivpn yn siarad protocolau porthffordd penodol, nid proffiliau IKEv1 mympwyol. Gwiriwch fersiwn IKE, modd PSK, cymorth XAuth a model rhyngweithio’r cleient sydd wedi’i osod ar wahân. Nid yw cleient sy’n cysylltu drwy ddull gwahanol wedi profi’r gofyn gwreiddiol.
Mae IKEv1 wedi dyddio, felly mae rholiad newydd ar gleient hen heb ei gefnogi yn ateb byrhoedlog. Gofynnwch i berchennog y porthffordd am lwybr mudo â chymorth, gan gynnwys sut y bydd yr ail ffactor yn cael ei drin yno.
Diagnosio heb analluogi’r ffactor
Gwahanwch y camau yn y log: trafodaeth cymheiriaid, y cyfnewid defnyddiwr, canlyniad yr ail ffactor, yna neilltuo cyfeiriad a llwybr. Cofnodwch y gydran a’r cam yn lle rhoi cynnig ar y cod ym mhob maes. Mae analluogi’r ffactor fel bod prawf yn pasio yn cynhyrchu twnnel nad yw’n profi dim am y defnyddiad.
Cadwch gyfrinachau cofrestru a’r allwedd a rennir mewn storfa warchodedig yn ôl proses y sefydliad. Mae cod un-tro mewn ffeil barhaus yn ffactor sydd wedi peidio â bod yn un.