Cyfrinach grŵp vpnc neu eich mewngofnodiad: pa faes sy'n cymryd beth?
Mae proffil vpnc yn gofyn am ID grŵp, cyfrinach grŵp a mewngofnodiad XAuth, ac mae pobl yn rhoi cyfrinair y cyfrif yn y blwch anghywir. Mapwch bob maes yn ôl ei rôl.
Y tro cyntaf y bydd rhywun yn rhoi proffil vpnc i chi, mae'r dialog cymwysterau yn gofyn pedwar peth ac yn ymddangos fel pe bai eisiau un cyfrinair. Nid yw: mae cyfrinach ragronnus grŵp a mewngofnodiad XAuth unigol yn werthoedd ar wahân gyda pherchnogion ar wahân, ac mae rhoi cyfrinair y cyfrif yn y maes grŵp yn rhoi methiant sy'n edrych fel cyfrinair drwg yn hytrach na blwch anghywir. Cael y map yn iawn yw'r dasg gyfan yma. Mae'r protocol oddi tano yn broject mudo rhywun arall, a dyna pam nad yw unrhyw ran o hyn yn ddadl dros adeiladu twneli IKEv1 newydd.
Dwy gyfrinach, dau berchennog, un dialog
Mae cyfrinach grŵp yn perthyn i broffil y giât. Mae pawb sy'n cysylltu drwy'r proffil hwnnw yn defnyddio'r un gwerth, a dyna'n union pam na all adnabod person ac na ellir ei thynnu o un gliniadur heb ei newid ar gyfer holl ddefnyddwyr eraill y proffil. Mae enw defnyddiwr a chyfrinair XAuth yn perthyn i'r person yn lle hynny, ac mae'r giât yn eu gwerthuso mewn ail gam ar ôl i'r cysylltiad IPsec fod eisoes yn codi.
Y siâp dwy gam hwn yw'r hyn y mae pobl yn ei golli. Mae sefydlu twnnel a dilysu defnyddiwr yn gyfnewidiadau gwahanol â mewnbynnau gwahanol, felly nid yw cleient nad yw byth yn cyrraedd yr anogwr cymwysterau wedi methu o gwbl ar y mewngofnodiad. Darllenwch y dialog fel dwy golofn yn hytrach nag un: gwerthoedd ar gyfer y proffil i gyd ar y chwith, gwerthoedd personol ar y dde. Pan fydd cysylltiad yn methu, nid y golofn a lenwch yn fwyaf diweddar yn awtomatig yw'r un sy'n euog.
Mapwch y meysydd yn ôl rôl, nid yn ôl label
Mae vpnc yn enwi ei gyfarwyddebau yn nogfennau'r project, ac mae pob rhyngwyneb graffig yn eu hail-enwi. Cyfieithwch rôl pob gwerth, ac mae'r labeli'n peidio â bod o bwys:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Nid yw rhyngwyneb sy'n dangos «Enw defnyddiwr» a «Cyfrinair» wrth ymyl maes grŵp yn anghywir — yr un tri gwerth dan wahanol enwau ydynt. Yr hyn sy'n torri yw llenwi blwch oherwydd bod gwerth yn ffitio ynddo. Mae cyfrinach grŵp sy'n cael ei phastio fel cyfrinair y defnyddiwr yn dilysu'r proffil ac yna'n methu ar gam y defnyddiwr; mae cyfrinair cyfrif sy'n cael ei bastio fel cyfrinach grŵp yn methu'n gynt, cyn unrhyw anogwr, ac yn anfon pobl i chwilio am y broblem mewn waliau tân, tra bo'r broblem yn byw mewn maes testun.
Beth nad yw dynodwr grŵp
Mae'r gair grŵp yn gwahodd darlleniad anghywir. Dynodwr grŵp yma yw detholydd sy'n dweud wrth y giât pa ffurfweddiad proffil i'w gymhwyso; nid yw'n dweud dim am aelodaeth cyfeirlyfr, ac mae enw cyfatebol ar y ddwy ochr yn gyd-ddigwyddiad nes bod y gweithredwr yn ei gadarnhau. Mae awdurdodiad yn digwydd ar ôl i XAuth lwyddo, wedi'i benderfynu gan beth bynnag y mae'r giât wedi'i ffurfweddu i ymgynghori ag ef, ac nid oes dim o hynny'n weladwy yn nogfennau'r cleient.
Mae'r un gofal yn gymwys i gyfrinach y grŵp. Nid yw ei gwybod yn hunaniaeth, ac mae cylchredeg un gyfrinach o gwmpas tîm yn benderfyniad gweithredol â chanlyniadau na all y cleient eu dangos i chi.
Datryswch y cyfarwyddyd amwys cyn cysylltu
Mae nodiadau trosglwyddo etifeddol yn aml yn cynnwys llinell fel «defnyddiwch y IP cyhoeddus pwrpasol». Gall y frawddeg honno olygu'r cyfeiriad y mae rhestr ganiatáu ar yr ochr draw yn disgwyl i'ch traffig gyrraedd ohono, sy'n briodwedd allbwn y rhwydwaith gweithredwr ac nid oes ganddo ddim i'w wneud â'r pwynt terfynol a deipiwch i faes y giât. Gofynnwch pa un o'r ddau a olygir cyn i'r gwerth fynd i unrhyw le. Wedi'i lenwi am yn ôl, mae'n anfon pob pecyn i gyfeiriad na fydd byth yn ateb, ac mae'r terfyn amser sy'n deillio o hynny'n edrych fel porth wedi'i rwystro.
Gofynnwch am bedwar peth drwy sianel ddilys y sefydliad: pa gleient a phrotocol a gefnogir, pa bwynt terfynol i'w ddefnyddio, pa hunaniaeth y bydd y giât yn ei chyflwyno, a sut y rhoddir cymwysterau. Cadwch gyfrinachau go iawn allan o sgrinluniau, tocynnau a nodiadau datrys problemau a rennir. Peidiwch â diffodd gwiriadau tystysgrifau nac â phastio hen restr seiffrau er mwyn gwneud i wasanaeth a ffurfweddwyd yn wahanol ymddangos yn gydnaws, oherwydd nid y cysylltiad y gofynnwyd i chi ei adeiladu mo chysylltiad sy'n gweithio drwy wanhau'r dilysu yn unig.
Cadwch y proffil etifeddol yn onest
Mae IKEv1 wedi darfod, a RFC 9395 yw'r ddogfen i'w chyhoeddi pan ddaw'r cwestiwn mudo i'r amlwg. Nid yw mapio meysydd llwyddiannus yn dystiolaeth bod y protocol yn perthyn i ddyluniad newydd; yr hyn y mae'n ei brynu yw cysylltiad gweithredol tra bydd yr amnewid yn cael ei drefnu, ynghyd â chwmpas ysgrifenedig a pherchennog i'r mudo hwnnw.
Yna gwiriwch yn erbyn y gofyniad yn hytrach nag yn erbyn y dialog. Ar ôl cysylltu, cadarnhewch fod rhyngwyneb y twnnel yn dal y cyfeiriad disgwyliedig a bod cyrchfan fewnol yn llwybro drwyddo; os oedd y gofyniad gwreiddiol yn enwi cyfeiriad allbwn ar gyfer rhestr ganiatáu, cadarnhewch y cyfeiriad hwnnw hefyd, gan ei fod yn ffaith wahanol i'r twnnel fod i fyny. Mae proffil sy'n dilysu'n gywir ac yn llwybro dim wedi methu'r dasg y cafodd ei greu ar ei chyfer o hyd.