IKEv1 με XAuth και OTP: τι ζητά κάθε προτροπή

Το IKEv1 με PSK, XAuth και OTP δεν ζητά έναν περίπλοκο κωδικό. Στοιβάζει ένα κοινόχρηστο κλειδί μεταξύ των ομοτίμων, μια ανταλλαγή χρήστη και έναν δεύτερο παράγοντα που το backend αποφασίζει πώς θα ζητήσει. Κάθε επίπεδο έχει τον δικό του ιδιοκτήτη και το δικό του μήνυμα αποτυχίας. Η σύγχυσή τους οδηγεί τους ανθρώπους να ξαναγράψουν έναν κωδικό μίας χρήσης σε πεδίο που αποθηκεύει ένα ομαδικό μυστικό.

Αντιστοιχίστε κάθε προτροπή στο επίπεδο που τη ζητά πριν εγκαταστήσετε άλλον πελάτη ή επαναφέρετε ένα διαπιστευτήριο.

Τρία μυστικά, τρεις ιδιοκτήτες

Το προ-κοινόχρηστο κλειδί ανήκει στη σχέση των ομοτίμων και ρυθμίζεται μία φορά από όποιον κατέχει και τα δύο άκρα. Το διαπιστευτήριο χρήστη ανήκει στο backend ελέγχου ταυτότητας και επικυρώνεται σε κάθε σύνδεση. Ο δεύτερος παράγοντας ανήκει σε σύστημα διακριτικών του οποίου η απάντηση αλλάζει σε κάθε προσπάθεια. Κανένα δεν υποκαθιστά άλλο, και μια εγκατάσταση που τα αντιμετωπίζει ως έναν κωδικό αποτυγχάνει στο επίπεδο που κανείς δεν τεκμηρίωσε.

Γράψτε τρεις στήλες: ιδιοκτήτη, διάρκεια και το μήνυμα αποτυχίας που παράγει το καθένα. Αυτός ο πίνακας είναι το διαγνωστικό εργαλείο, και όχι τα ονόματα πεδίων του πελάτη.

PSK: ο ομότιμος, όχι το πρόσωπο

Το προ-κοινόχρηστο κλειδί πιστοποιεί το ζεύγος πυλών σε αυτή την παλαιά διάταξη, οπότε η σύνδεση του χρήστη δεν το αντικαθιστά ποτέ. Είναι επίσης η τιμή που πιθανότατα είναι λάθος με τρόπο που παράγει γενικό σφάλμα διαπραγμάτευσης αντί για προτροπή. Όταν η σήραγγα αποτυγχάνει πριν εμφανιστεί οποιαδήποτε προτροπή χρήστη, οι ύποπτοι είναι το κλειδί ή οι προτάσεις.

Ένα διαπιστευτήριο χρήστη δεν μπορεί να διορθώσει αποτυχία της πρώτης φάσης. Η περιστροφή του σπαταλά το μόνο διαπιστευτήριο που μπορείτε να περιστρέψετε με ασφάλεια και ενισχύει τη λανθασμένη θεωρία.

XAuth: η παλαιά ανταλλαγή χρήστη

Το XAuth προσθέτει ανταλλαγή ελέγχου ταυτότητας χρήστη πάνω από τον έλεγχο ταυτότητας ομοτίμου του IKEv1, και η πύλη αποφασίζει ποιο backend την επικυρώνει. Ανάλογα με αυτό το backend, η ανταλλαγή μπορεί να δεχτεί κωδικό καταλόγου, διαπιστευτήριο RADIUS ή απάντηση διακριτικού. Η λέξη XAuth ονομάζει τη μεταφορά της ανταλλαγής, όχι τον τύπο του διαπιστευτηρίου.

Ελέγξτε σε ποιο backend δείχνει το προφίλ της πύλης. Αυτό σας λέει τι θα ζητηθεί από τον χρήστη και τι αλλάζει πραγματικά μια επαναφορά κωδικού, και κανένα από τα δύο δεν φαίνεται σε προφίλ πελάτη.

OTP: ό,τι ζητήσει το backend

Ορισμένες εγκαταστάσεις ζητούν ξεχωριστό κωδικό μίας χρήσης μετά τον κωδικό πρόσβασης, και άλλες ορίζουν συνδυασμένη μορφή εισόδου με τεκμηριωμένο διαχωριστικό. Και οι δύο υπάρχουν, και το προφίλ μπροστά σας αποφασίζει ποια. Το να επινοήσετε μια συνένωση επειδή δούλεψε σε άλλη εγκατάσταση είναι ο συνηθέστερος τρόπος να κάψετε ένα διακριτικό εγγραφής. Η τεκμηρίωση της ίδιας της πύλης είναι η μόνη πηγή που το επιλύει.

Χρησιμοποιήστε την τεκμηριωμένη μορφή με πελάτη που μπορεί να ολοκληρώσει την ανταλλαγή που προσφέρει η πύλη.

Πού δαγκώνει το όριο του πελάτη

Η Fortinet τεκμηριώνει ότι το FortiClient 7.4.4 και νεότερο δεν υποστηρίζουν πλέον IKEv1 για IPsec VPN, που είναι όριο προϊόντος και έκδοσης και όχι καθολική κατάργηση, όπως σημείωση συμβατότητας FortiClient καταγράφει. Ούτε οι άλλοι πελάτες είναι εναλλάξιμοι: το OpenConnect και το openfortivpn μιλούν συγκεκριμένα πρωτόκολλα πύλης, όχι αυθαίρετα προφίλ IKEv1. Ελέγξτε χωριστά την έκδοση IKE, τη λειτουργία PSK, την υποστήριξη XAuth και το μοντέλο αλληλεπίδρασης του εγκατεστημένου πελάτη. Ένας πελάτης που συνδέεται με διαφορετική μέθοδο δεν έχει αποδείξει την αρχική απαίτηση.

Το IKEv1 είναι παρωχημένο, οπότε μια νέα ανάπτυξη σε μη υποστηριζόμενο παλιό πελάτη είναι βραχύβια λύση. Ζητήστε από τον ιδιοκτήτη της πύλης υποστηριζόμενη διαδρομή μετανάστευσης, συμπεριλαμβανομένου του πώς θα αντιμετωπίζεται εκεί ο δεύτερος παράγοντας.

Διάγνωση χωρίς απενεργοποίηση του παράγοντα

Διαχωρίστε τα στάδια στο αρχείο καταγραφής: διαπραγμάτευση ομοτίμων, ανταλλαγή χρήστη, αποτέλεσμα δεύτερου παράγοντα και μετά ανάθεση διεύθυνσης και διαδρομής. Καταγράψτε το στοιχείο και το στάδιο αντί να δοκιμάζετε τον κωδικό σε κάθε πεδίο. Η απενεργοποίηση του παράγοντα ώστε να περάσει ένα τεστ παράγει σήραγγα που δεν αποδεικνύει τίποτα για την ανάπτυξη.

Κρατήστε τα μυστικά εγγραφής και το κοινόχρηστο κλειδί σε προστατευμένη αποθήκευση σύμφωνα με τη διαδικασία του οργανισμού. Ένας κωδικός μίας χρήσης σε μόνιμο αρχείο είναι παράγοντας που έπαψε να είναι.