Μυστικό ομάδας vpnc ή η σύνδεσή σας: ποιο πεδίο παίρνει τι;
Ένα προφίλ vpnc ζητά αναγνωριστικό ομάδας, μυστικό ομάδας και σύνδεση XAuth, και οι άνθρωποι βάζουν τον κωδικό του λογαριασμού στο λάθος πεδίο. Χαρτογραφήστε κάθε πεδίο με βάση τον ρόλο του.
Την πρώτη φορά που κάποιος σας δίνει ένα προφίλ vpnc, το παράθυρο διαπιστευτηρίων ρωτά τέσσερα πράγματα και μοιάζει να θέλει έναν μόνο κωδικό. Δεν θέλει: το κοινό μυστικό ομάδας και η ατομική σύνδεση XAuth είναι ξεχωριστές τιμές με ξεχωριστούς ιδιοκτήτες, και το να βάλετε τον κωδικό του λογαριασμού στο πεδίο ομάδας παράγει αποτυχία που μοιάζει με λάθος κωδικό και όχι με λάθος πεδίο. Το να πετύχετε τη χαρτογράφηση είναι όλη η δουλειά εδώ. Το πρωτόκολλο από κάτω είναι μεταναστευτικό έργο κάποιου άλλου, γι' αυτό τίποτα από αυτά δεν είναι επιχείρημα για νέες σήραγγες IKEv1.
Δύο μυστικά, δύο ιδιοκτήτες, ένα παράθυρο
Το μυστικό ομάδας ανήκει στο προφίλ της πύλης. Όλοι όσοι συνδέονται μέσω αυτού του προφίλ χρησιμοποιούν την ίδια τιμή, και γι' αυτό ακριβώς δεν μπορεί να ταυτοποιήσει πρόσωπο και δεν μπορεί να ανακληθεί από ένα φορητό υπολογιστή χωρίς να αλλάξει για όλους τους άλλους χρήστες του προφίλ. Το όνομα χρήστη και ο κωδικός XAuth ανήκουν στον άνθρωπο, και η πύλη τα αξιολογεί σε δεύτερο στάδιο, αφού η συσχέτιση IPsec είναι ήδη ενεργή.
Αυτό το σχήμα δύο σταδίων είναι ό,τι χάνουν οι άνθρωποι. Η εγκατάσταση της σήραγγας και η ταυτοποίηση χρήστη είναι διαφορετικές ανταλλαγές με διαφορετικές εισόδους, οπότε ένας πελάτης που δεν φτάνει ποτέ στην προτροπή διαπιστευτηρίων δεν έχει αποτύχει καθόλου στη σύνδεση. Διαβάστε το παράθυρο ως δύο στήλες και όχι ως μία: τιμές για όλο το προφίλ αριστερά, προσωπικές τιμές δεξιά. Όταν μια σύνδεση αποτυγχάνει, η στήλη που συμπληρώσατε πιο πρόσφατα δεν είναι αυτόματα η ένοχη.
Χαρτογραφήστε τα πεδία με βάση τον ρόλο, όχι την ετικέτα
Το vpnc ονομάζει τις οδηγίες του στην τεκμηρίωση του έργου, και κάθε γραφικό περιβάλλον τις μετονομάζει. Μεταφράστε τον ρόλο κάθε τιμής και οι ετικέτες παύουν να έχουν σημασία:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Ένα περιβάλλον που δείχνει «Όνομα χρήστη» και «Κωδικό» δίπλα σε πεδίο ομάδας δεν είναι λάθος — είναι οι ίδιες τρεις τιμές με άλλα ονόματα. Αυτό που σπάει είναι να γεμίζετε ένα πεδίο επειδή μια τιμή χωράει σε αυτό. Ένα μυστικό ομάδας που επικολλάται ως κωδικός χρήστη ταυτοποιεί το προφίλ και μετά αποτυγχάνει στο στάδιο χρήστη· ένας κωδικός λογαριασμού που επικολλάται ως μυστικό ομάδας αποτυγχάνει νωρίτερα, πριν από κάθε προτροπή, και στέλνει τους ανθρώπους να ψάχνουν τείχη προστασίας για ένα πρόβλημα που ζει σε ένα πεδίο κειμένου.
Τι δεν είναι αναγνωριστικό ομάδας
Η λέξη ομάδα προκαλεί λάθος ανάγνωση. Το αναγνωριστικό ομάδας εδώ είναι επιλογέας που λέει στην πύλη ποια διαμόρφωση προφίλ να εφαρμόσει· δεν λέει τίποτα για ιδιότητα μέλους καταλόγου, και μια ταιριαστή ονομασία και στις δύο πλευρές είναι σύμπτωση μέχρι να την επιβεβαιώσει ο διαχειριστής. Η εξουσιοδότηση γίνεται αφού πετύχει το XAuth, την αποφασίζει ό,τι έχει ρυθμιστεί να συμβουλεύεται η πύλη, και τίποτα από αυτά δεν φαίνεται στο παράθυρο του πελάτη.
Η ίδια προσοχή ισχύει για το μυστικό ομάδας. Το να το γνωρίζετε δεν είναι ταυτότητα, και η κυκλοφορία ενός μυστικού σε μια ομάδα είναι λειτουργική απόφαση με συνέπειες που ο πελάτης δεν μπορεί να σας δείξει.
Ξεκαθαρίστε την αμφίσημη οδηγία πριν συνδεθείτε
Οι σημειώσεις παράδοσης παλαιών συστημάτων συχνά περιέχουν μια γραμμή όπως «χρησιμοποιήστε τη αποκλειστική δημόσια IP». Αυτή η φράση μπορεί να σημαίνει τη διεύθυνση από την οποία μια λίστα επιτρεπόμενων στην άλλη πλευρά περιμένει να φτάσει η κίνησή σας — αυτό είναι ιδιότητα εξόδου του δικτύου του διαχειριστή και δεν έχει καμία σχέση με το τελικό σημείο που πληκτρολογείτε στο πεδίο της πύλης. Ρωτήστε ποιο από τα δύο εννοείται πριν πάει η τιμή οπουδήποτε. Συμπληρωμένη ανάποδα, στέλνει κάθε πακέτο σε διεύθυνση που δεν απαντά ποτέ, και το λήξαν χρονικό όριο διαβάζεται σαν φραγμένη θύρα.
Ζητήστε τέσσερα πράγματα μέσω του επαληθευμένου καναλιού του οργανισμού: ποιος πελάτης και ποιο πρωτόκολλο υποστηρίζονται, ποιο τελικό σημείο να χρησιμοποιηθεί, ποια ταυτότητα θα παρουσιάσει η πύλη και πώς παραδίδονται τα διαπιστευτήρια. Κρατήστε τα πραγματικά μυστικά έξω από στιγμιότυπα οθόνης, δελτία και κοινές σημειώσεις αντιμετώπισης προβλημάτων. Μην απενεργοποιείτε τους ελέγχους πιστοποιητικών και μην επικολλάτε παλιά λίστα κρυπτογράφησης για να φαίνεται συμβατή μια διαφορετικά ρυθμισμένη υπηρεσία, γιατί μια σύνδεση που λειτουργεί μόνο αποδυναμώνοντας την επαλήθευση δεν είναι η σύνδεση που σας ζητήθηκε να φτιάξετε.
Κρατήστε το παλαιό προφίλ έντιμο
Το IKEv1 είναι παρωχημένο, και το RFC 9395 είναι το έγγραφο που επικαλείται όταν τίθεται το ζήτημα της μετανάστευσης. Μια επιτυχημένη χαρτογράφηση πεδίων δεν είναι απόδειξη ότι το πρωτόκολλο ανήκει σε νέο σχεδιασμό· αυτό που αγοράζει είναι μια λειτουργική σύνδεση όσο προγραμματίζεται η αντικατάσταση, μαζί με γραπτό εύρος και ιδιοκτήτη αυτής της μετανάστευσης.
Έπειτα επαληθεύστε με βάση την απαίτηση και όχι το παράθυρο. Αφού συνδεθείτε, επιβεβαιώστε ότι η διεπαφή της σήραγγας έχει τη αναμενόμενη διεύθυνση και ότι ένας εσωτερικός προορισμός δρομολογείται μέσω αυτής· αν η αρχική απαίτηση όριζε διεύθυνση εξόδου για λίστα επιτρεπόμενων, επιβεβαιώστε και εκείνη τη διεύθυνση, γιατί είναι διαφορετικό γεγονός από το ότι η σήραγγα είναι ενεργή. Ένα προφίλ που ταυτοποιείται σωστά και δεν δρομολογεί τίποτα έχει ακόμη αποτύχει στο έργο για το οποίο δημιουργήθηκε.