Grupa sekreto de vpnc aŭ via saluto: kiu kampo prenas kion?
Profilo de vpnc petas grupan identigilon, grupan sekreton kaj XAuth-saluton, kaj homoj metas la kontan pasvorton en la malĝustan kampon. Mapu ĉiun kampon laŭ ĝia rolo.
La unuan fojon, kiam iu donas al vi profilon de vpnc, la dialogfenestro pri akreditaĵoj demandas kvar aferojn kaj aspektas, kvazaŭ ĝi volus unu pasvorton. Ĝi ne volas: grupa antaŭe dividita sekreto kaj individua XAuth-saluto estas apartaj valoroj kun apartaj posedantoj, kaj meti la kontan pasvorton en la grupan kampon produktas malsukceson, kiu aspektas kiel malbona pasvorto anstataŭ kiel malĝusta kampo. Trafi la mapon ĝuste estas la tuta tasko ĉi tie. La protokolo sube estas migrada projekto de iu alia, tial nenio el tio estas argumento por konstrui novajn IKEv1-tunelojn.
Du sekretoj, du posedantoj, unu dialogo
Grupa sekreto apartenas al la profilo de la enirejo. Ĉiuj, kiuj konektiĝas tra tiu profilo, uzas la saman valoron, kaj ĝuste tial ĝi ne povas identigi personon kaj ne povas esti retirita de unu tekkomputilo sen ŝanĝi ĝin por ĉiuj aliaj uzantoj de la profilo. La XAuth-uzantnomo kaj pasvorto apartenas al la homo, kaj la enirejo taksas ilin en dua etapo, post kiam la IPsec-asocio jam staras.
Ĝuste tiun duetapan formon homoj maltrafas. Tunela starigo kaj uzantaŭtentikigo estas malsamaj interŝanĝoj kun malsamaj enigoj, do kliento, kiu neniam atingas la akreditaĵan peton, tute ne malsukcesis ĉe la saluto. Legu la dialogon kiel du kolumnojn anstataŭ unu: profilaj valoroj maldekstre, personaj valoroj dekstre. Kiam konekto malsukcesas, la kolumno, kiun vi plenigis plej laste, ne aŭtomate estas la kulpa.
Mapu la kampojn laŭ rolo, ne laŭ etikedo
vpnc nomas siajn direktivojn en la projekta dokumentaro, kaj ĉiu grafika interfaco renomas ilin. Traduku la rolon de ĉiu valoro, kaj la etikedoj ĉesas gravi:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Interfaco, kiu montras «Uzantnomo» kaj «Pasvorto» apud grupa kampo, ne estas malĝusta — ĝi estas la samaj tri valoroj sub malsamaj nomoj. Rompiĝas tio, kiam oni plenigas kampon ĉar valoro taŭgas en ĝin. Grupa sekreto algluita kiel uzanta pasvorto aŭtentikigas la profilon kaj poste malsukcesas ĉe la uzanta etapo; konta pasvorto algluita kiel grupa sekreto malsukcesas pli frue, antaŭ ajna peto, kaj sendas homojn serĉi la problemon en fajroŝirmiloj, dum ĝi loĝas en teksta kampo.
Kio grupa identigilo ne estas
La vorto grupo invitadas al malĝusta legado. Grupa identigilo ĉi tie estas elektilo, kiu diras al la enirejo, kiun profilkonfiguron apliki; ĝi diras nenion pri membreco en adresaro, kaj kongrua nomo ambaŭflanke estas hazardo, ĝis la administranto konfirmas ĝin. Rajtigo okazas post sukcesa XAuth, decidita de tio, kion la enirejo estas agordita konsulti, kaj nenio el tio videblas en la klienta dialogo.
La sama singardo validas por la grupa sekreto. Scii ĝin ne estas identeco, kaj cirkuligi unu sekreton tra teamo estas operacia decido kun sekvoj, kiujn la kliento ne povas montri al vi.
Solvu la ambiguajn instrukciojn antaŭ konekti
Transdonaj notoj el heredaĵo ofte enhavas linion kiel «uzu la dediĉitan publikan IP». Tiu frazo povas signifi la adreson, el kiu permeslisto ĉe la alia flanko atendas, ke via trafiko alvenu — tio estas elira eco de la reto de la administranto kaj havas nenion komunan kun la finpunkto, kiun vi tajpas en la enirejan kampon. Demandu, kiun el la du oni celas, antaŭ ol la valoro iru ien ajn. Plenigita inverse, ĝi sendas ĉiun pakaĵon al adreso, kiu neniam respondas, kaj la rezulta tempolimo aspektas kiel blokita pordo.
Petu kvar aferojn per la kontrolita kanalo de la organizo: kiu kliento kaj protokolo estas subtenataj, kiun finpunkton uzi, kiun identecon la enirejo prezentos, kaj kiel oni transdonas akreditaĵojn. Tenu verajn sekretojn ekster ekrankopioj, biletoj kaj komune uzataj pripensadaj notoj. Ne malŝaltu atestilajn kontrolojn kaj ne algluu malnovan ĉifraran liston por igi alie agorditan servon ŝajni kongrua, ĉar konekto, kiu funkcias nur per malfortigo de kontrolado, ne estas la konekto, kiun oni petis vin konstrui.
Tenu la heredaĵan profilon honesta
IKEv1 estas eksdata, kaj RFC 9395 estas la dokumento citenda, kiam la migrada demando aperas. Sukcesa kampa mapado ne estas pruvo, ke la protokolo apartenas al nova dezajno; ĝi aĉetas funkciantan konekton dum la anstataŭo estas planata, plus skribitan amplekson kaj posedanton por tiu migrado.
Poste kontrolu kontraŭ la postulo, ne kontraŭ la dialogo. Post konektiĝo konfirmu, ke la tunela interfaco havas la atenditan adreson kaj ke interna celo estas enkursigita tra ĝi; se la origina postulo nomis eliran adreson por permeslisto, konfirmu ankaŭ tiun adreson, ĉar ĝi estas alia fakto ol tio, ke la tunelo staras. Profilo, kiu ĝuste aŭtentikigas kaj enkursigas nenion, tamen malsukcesis la taskon, por kiu ĝi estis kreita.