SoftEtheri ühendusprofiil: enne importi kontrollige kuut välja

Profiili import õnnestub, kuid autentimine ebaõnnestub, sest fail osutab Virtual Hubile, millega konto pole kunagi liitunud. Failis pole midagi rikkis; see kirjeldab seadet, mille jaoks mandaate ei väljastatud. Kuus välja otsustavad, kas import saab töötada: hostinimi, port, protokoll, Virtual Hub, kasutaja identiteet ja see, kas keegi andis teile eksikombel administraatori mandaadi. Kontrollid ühest kolmeni katavad need väljad järjest ning kaks viimast katavad faili enda ja selle, millega te tegelikult liitusite.

Kontroll 1: hostinimi ja port

Lugege hostinimi, port ja deklareeritud juurdepääsumeetod enne, kui midagi impordite. SoftEtheri kohalik kuulaja vastab tavaliselt TCP 443, kusjuures 992 ja 5555 on alternatiivid, mille operaatorid avavad klientidele piiravate võrkude taga. Profiil, mis on suunatud pordile, mis teenindab veebisaiti või muud teenust, ebaõnnestub enne autentimist ja teatab veast mandaadiveana. Võrrelge paari sellega, mida operaator selle lõpp-punkti kohta avaldab, mitte kataloogiloendiga, mille keegi eelmisel aastal kogus. Kui hostinimi laheneb aadressiks, mida operaator kunagi ei maini, peatuge seal, sest järgmine samm saadab mandaadid sellele aadressile.

Port 443 on ühine territoorium, seega port üksi ei tõesta midagi selle taga oleva teenuse kohta. SoftEtheri klient eristab neid kahte protokolli käepigistusega, mistõttu võib profiil osutada õigele pordile ja siiski lõppeda veebiserveri juures. See viga näeb kliendi logis välja nagu vale parool, kuigi ühtegi parooli ei kontrollitud.

Kirjutage lõpp-punkt üles hostinime, pordi ja meetodina, selles järjekorras. See kolmik on osa, mida saate kontrollida ilma ühendumata, ja osa, mida tsiteerite, kui küsite operaatorilt, kas kuulaja on veel üleval. Kõik, mida te avaldatud allikast täita ei saa, jääb kontrollimata, mitte eeldatuks.

Kontroll 2: protokoll määrab kliendi

Server, mis pakub mitut juurdepääsumeetodit, ei muuda üht eksporditud faili profiiliks, mille saab avada iga klient. Each method has its own format, its own client and its own failure mode, ja nende segamine tekitab vigu, mis kõlavad nagu mandaadiprobleemid. Otsustage, millise meetodi fail deklareerib, enne kui otsustate, milline klient selle avab.

Allolev tabel loetleb tavapärased pordid ja selle, mida iga meetod tegelikult nõuab. Pordid on operaatori valik, seega käsitlege neid vaikeväärtustena, mitte faktidena konkreetse serveri kohta. Kohaliku SoftEtheri profiili impordib SoftEtheri klient, ovpn-pakett kuulub OpenVPN-ile ning SSTP või L2TP profiile töötleb operatsioonisüsteem ise. Teise kliendi paigaldamine, et avada faili, mille esimene tagasi lükkab, muudab tavaliselt selge vea segaseks.

Lugege deklaratsiooni faili sees, mitte laiendit. OpenVPN-i järgi nimetatud fail on definitsiooni järgi OpenVPN-i profiil, samas kui SoftEtheri profiil on väike konfiguratsioon, mille SoftEtheri klient impordib, ja need kaks ei ole vahetatavad. Kui deklareeritud meetod on selline, mida te ei saa teenindada, vastab see impordiküsimusele.

Kontroll 3: jaotur, kasutaja ja administraatori roll

Kohaliku juurdepääsu korral nimetab profiil Virtual Hubi ja kasutajat selles. A hub is a logical VPN server instance with its own users and its own settings, ja kasutaja on selle jaoturi liige oma autentimisega. Kumbki neist ei ole serveri administreerimine, mis juhib kuulajaid, jaotureid ja iga juurutuse kasutajat. Kliendiprofiil ei tohiks kunagi saabuda selle juhtimisega kaasas. Kui keegi saadab teile administraatori mandaadi, et klient töötaks, on seade vale, ükskõik kas see ühendub või mitte.

Hoidke need kolm lahus, kui ühendust dokumenteerite, sest need tühistatakse erinevalt. Jaoturi kasutaja eemaldamine lõpetab ühe inimese juurdepääsu ja jätab ülejäänud juurutuse puutumata, samas kui administraatori mandaadi roteerimine puudutab kõike. See erinevus on ka põhjus, miks vastu seista ühele jagatud jaoturi kasutajale meeskonna jaoks, sest üks mandaat tähendab ühte tühistamissündmust kõigi jaoks.

Kontroll 4: fail on sama tundlik kui see, mida ta kannab

Sõltuvalt vormingust võib profiil kanda salvestatud parooli, sertifikaati või eeljagatud võtit. Käsitlege eksporti salajasena seni, kuni see eksisteerib, sest koopia, mille kinnitate pöördumisele, on koopia, mille saab importida keegi teine. Enne jagamist eemaldage mandaat või jagage uuesti loodud profiili uue saladusega. Faili tundlikkus tuleneb sisust, mitte laiendist ega suurusest.

Kinnitage lõpp-punkt kanali kaudu, mille operaator avaldab, ja käsitlege kataloogisilti kontrollimatuna. Riigilipp ja hostinimi avalikus sõlmede loendis valib see, kes kirje esitas, seega kumbki neist ei tuvasta, kes serverit haldab. Kui profiil pärineb avalikust kataloogist, on see põhjus rohkemateks kontrollideks, mitte vähemateks.

Pange kirja, kust fail tuli ja millal te selle saite. Kui ühendus hiljem käitub teisiti, on päritolu esimene asi, mida kontrollitud lõpp-punktiga võrrelda. Päritoluta profiil on profiil, mida te ei saa auditeerida.

Arhiveerige koopia, mille te kontrollisite, mitte see, mille leidsite hiljem. Kaks sama nime ja erinevate lõpp-punktidega faili on viis, kuidas töötav import muutub tugijuhtumiks. Hoidke kontrollitud koopiat märkme kõrval selle päritolu kohta.

Kontroll 5: testige rakendust, mitte olekutuld

Pärast importi testige rakendust, mida te tegelikult vajate, mitte ühenduse indikaatorit. Õnnestunud autentimine tõestab, et mandaadid töötavad, mitte et oodatud marsruudid või DNS tulid seansiga kaasa. Ühenduge ja seejärel kasutage teenust, mida profiil pidi saavutama.

Vaadake üle määratud marsruudid ja DNS-serverid ning märkige, millised sihtkohad mööduvad tunnelist, kui kavas on jaotus. Seejärel korrake ühe sihtkohaga, mis peaks olema välistatud, sest jaotatud tunnel, mis saadab kõik tunnelist läbi, läbib ühe sihtkoha testi ikkagi. Kui privaatne ressurss ebaõnnestub, on kahtlane marsruut, mitte mandaat. Kirjutage üles neli tulemust: autenditud, teenus kättesaadav, marsruudid ootuspärased, välistatud sihtkoht välistatud.

Võrrelge kõiki nelja tulemust sellega, mida operaator selle jaoturi kohta lubas. Sessioon, mis autenditakse, kui välistatud sihtkoht on samuti kättesaadav, tähendab, et jaotus ei kehti ja profiil pole probleem. Parandage ootus või jaoturi poliitika ning seejärel korrake nelja kontrolli samas järjekorras.