IKEv1 koos XAuthi ja OTP-ga: mida iga väli küsib
Grupi PSK, kasutaja XAuth-vahetus ja OTP-väljakutse on kolm erinevat sisendit. Enne teise kliendi paigaldamist siduge iga väli selle omanikuga.
IKEv1 koos PSK, XAuthi ja OTP-ga ei küsi üht keerukat parooli. See kihistab võrdsed osapooled ühendava jagatud võtme, kasutajavahetuse ja teise teguri, mille küsimise viisi otsustab backend. Igal kihil on oma omanik ja oma veateade. Nende segamine paneb inimesed sisestama ühekordset koodi uuesti välja, mis hoiab grupisaladust.
Enne teise kliendi paigaldamist või mandaadi lähtestamist siduge iga väli kihiga, mis seda küsib.
Kolm saladust, kolm omanikku
Eeljagatud võti kuulub osapoolte suhtele ja selle seadistab üks kord see, kellele kuuluvad mõlemad otsad. Kasutaja mandaat kuulub autentimise backendile ja seda kontrollitakse igal sisselogimisel. Teine tegur kuulub märgisüsteemile, mille vastus muutub igal katsel. Ükski ei asenda teist ja juurutus, mis kohtleb neid ühe paroolina, ebaõnnestub kihis, mida keegi ei dokumenteerinud.
Kirjutage üles kolm veergu: omanik, kestus ja veateade, mille igaüks annab. See tabel on diagnostikavahend, kliendi väljanimed mitte.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: osapool, mitte inimene
Eeljagatud võti autentib selles vanas skeemis lüüsipaari, seega kasutaja sisselogimine ei asenda seda kunagi. See on ka väärtus, mis kõige tõenäolisemalt on vale nii, et selle asemel tekib üldine läbirääkimisviga, mitte väli. Kui tunnel ebaõnnestub enne mis tahes kasutajavälja ilmumist, on kahtlusalused võti või ettepanekud.
Kasutaja mandaat ei saa parandada esimese faasi tõrget. Selle roteerimine raiskab ainsa mandaadi, mida saate ohutult roteerida, ja kinnistab vale teooriat.
XAuth: vana kasutajavahetus
XAuth lisab kasutaja autentimise vahetuse IKEv1 osapoolte autentimise peale ja lüüs otsustab, milline backend seda kontrollib. Sõltuvalt sellest backendist võib vahetus vastu võtta kataloogiparooli, RADIUS-mandaadi või märgisvastuse. Sõna XAuth nimetab vahetuse transporti, mitte mandaadi tüüpi.
Kontrollige, millisele backendile lüüsi profiil osutab. See ütleb, mida kasutajalt küsitakse ja mida parooli lähtestamine tegelikult muudab, ja kumbagi ei ole kliendiprofiilis näha.
OTP: mida iganes backend nõuab
Mõned juurutused küsivad pärast parooli eraldi ühekordset koodi, teised määratlevad dokumenteeritud eraldajaga kombineeritud sisestusvormingu. Mõlemad on olemas ja otsustab profiil teie ees. Liitmise väljamõtlemine, sest see toimis mujal, on kõige tavalisem viis registreerimismärgis ära põletada. Lüüsi enda dokumentatsioon on ainus allikas, mis selle otsustab.
Kasutage dokumenteeritud vormingut kliendiga, mis suudab lüüsi pakutava vahetuse lõpule viia.
Kus kliendi piir hammustab
Fortinet dokumenteerib, et FortiClient 7.4.4 ja uuemad ei toeta enam IKEv1-t IPsec VPN-ide jaoks, mis on toote- ja versioonipiir, mitte üldine eemaldamine, nagu FortiClienti ühilduvusteade seda kajastab. Ka teised kliendid ei ole vahetatavad: OpenConnect ja openfortivpn räägivad kindlaid lüüsiprotokolle, mitte suvalisi IKEv1 profiile. Kontrollige paigaldatud kliendi IKE versiooni, PSK režiimi, XAuth tuge ja interaktsioonimudelit eraldi. Klient, mis ühendub teise meetodiga, ei ole tõestanud algset nõuet.
IKEv1 on aegunud, seega uus juurutus toetamata vanal kliendil on lühiajaline lahendus. Küsige lüüsi omanikult toetatud migratsiooniteed, sealhulgas kuidas seal teist tegurit käsitletakse.
Diagnoosimine tegurit välja lülitamata
Eraldage logis etapid: osapoolte läbirääkimine, kasutajavahetus, teise teguri tulemus, seejärel aadressi ja marsruudi määramine. Kirjutage üles komponent ja etapp, selle asemel et proovida koodi igas väljas. Teguri väljalülitamine, et test läbiks, annab tunneli, mis ei tõesta juurutuse kohta midagi.
Hoidke registreerimissaladused ja jagatud võti organisatsiooni protsessi kohaselt kaitstud hoidlas. Püsivas failis olev ühekordne kood on tegur, mis on lakanud olemast.