vpnc grupisaladus või sinu sisselogimine: milline väli mida võtab?
vpnc profiil küsib grupi ID-d, grupisaladust ja XAuthi sisselogimist ning inimesed pistavad konto parooli valesse lahtrisse. Kaardista iga väli selle rolli järgi.
Kui keegi annab sulle esimest korda vpnc profiili, küsib volituste dialoog nelja asja ja näeb välja, nagu tahaks ühte parooli. Ei taha: grupi eeljagatud saladus ja individuaalne XAuthi sisselogimine on eraldi väärtused eraldi omanikega ning konto parooli panemine grupi väljale annab vea, mis näeb välja nagu vale parool, mitte nagu vale lahter. Kaardistuse õigesti saamine ongi kogu ülesanne siin. Selle all olev protokoll on kellegi teise migratsiooniprojekt, mistõttu ei ole miski sellest argument uute IKEv1 tunnelite ehitamiseks.
Kaks saladust, kaks omanikku, üks dialoog
Grupisaladus kuulub lüüsi profiilile. Kõik, kes selle profiili kaudu ühenduvad, kasutavad sama väärtust, ja just seetõttu ei saa see isikut tuvastada ega ühe sülearvuti jaoks tagasi võtta, ilma et seda muudetaks kõigi teiste profiili kasutajate jaoks. XAuthi kasutajanimi ja parool kuuluvad seevastu inimesele ning lüüs hindab neid teises etapis, pärast seda, kui IPseci seos on juba püsti.
Just selle kaheetapilise kuju jätavad inimesed märkamata. Tunneli loomine ja kasutaja autentimine on erinevad vahetused erinevate sisenditega, seega klient, kes ei jõua kunagi volituste küsimuseni, ei ole sisselogimisel üldse ebaõnnestunud. Loe dialoogi kahe veeruna, mitte ühena: profiiliüleste väärtused vasakul, isiklikud väärtused paremal. Kui ühendus ebaõnnestub, ei ole viimati täidetud veerg automaatselt süüdi.
Kaardista väljad rolli, mitte sildi järgi
vpnc nimetab oma direktiivid projekti dokumentatsioonis ja iga graafiline liides nimetab need ümber. Tõlgi iga väärtuse roll ja sildid lakkavad tähtsust omamast:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Liides, mis näitab grupi välja kõrval „Kasutajanimi“ ja „Parool“, ei ole vale — need on samad kolm väärtust teiste nimede all. Katki läheb see, kui väli täidetakse seetõttu, et väärtus sinna mahub. Kasutajaparoolina kleepuv grupisaladus autendib profiili ja nurjub seejärel kasutaja etapis; grupisaladusena kleepuv kontoparool nurjub varem, enne igasugust küsimust, ja saadab inimesed otsima probleemi tulemüüridest, kuigi see elab tekstiväljas.
Mida grupi identifikaator ei ole
Sõna grupp kutsub esile vale lugemise. Grupi identifikaator on siin valija, mis ütleb lüüsile, millist profiili konfiguratsiooni rakendada; see ei ütle midagi kataloogi kuulumise kohta ja mõlemal pool kattuv nimi on juhus, kuni operaator selle kinnitab. Autoriseerimine toimub pärast XAuthi õnnestumist, selle otsustab see, mida lüüs on konfigureeritud konsulteerima, ja miski sellest ei ole kliendi dialoogis nähtav.
Sama ettevaatus kehtib grupisaladuse kohta. Selle teadmine ei ole identiteet ja ühe saladuse ringlemine meeskonnas on operatiivne otsus tagajärgedega, mida klient ei saa sulle näidata.
Selgita mitmetähenduslik juhend enne ühendamist
Pärandi üleandmise märkmed sisaldavad sageli rida nagu „kasuta spetsiaalset avalikku IP-d“. See fraas võib tähendada aadressi, kust teise poole lubatud loend ootab sinu liikluse saabumist — see on operaatori võrgu väljumisomadus ega ole kuidagi seotud lõpp-punktiga, mille trükid lüüsi väljale. Küsi, kumba neist mõeldakse, enne kui väärtus kuhugi läheb. Vastupidi täidetuna saadab see iga paketi aadressile, mis ei vasta kunagi, ja sellest tulenev aegumine loetakse blokeeritud pordina.
Küsi nelja asja organisatsiooni kinnitatud kanali kaudu: millist klienti ja protokolli toetatakse, millist lõpp-punkti kasutada, millise identiteedi lüüs esitab ja kuidas volitusi üle antakse. Hoia tõelised saladused ekraanipiltidelt, piletitelt ja jagatud tõrkeotsingu märkmetest eemal. Ära lülita välja sertifikaadi kontrolle ega kleebi vana šifrite loendit, et teisiti konfigureeritud teenus näeks ühilduv välja, sest ühendus, mis töötab ainult kontrolli nõrgendades, ei ole see ühendus, mida sinult ehitada paluti.
Hoia pärandprofiil aus
IKEv1 on aegunud ja RFC 9395 on dokument, millele viidata, kui migratsiooniküsimus kerkib. Edukas väljade kaardistamine ei ole tõestus, et protokoll kuulub uude disaini; selle eest saab toimiva ühenduse seni, kuni asendus on ajastatud, pluss kirjalik ulatus ja selle migratsiooni omanik.
Seejärel kontrolli nõude, mitte dialoogi vastu. Pärast ühendamist kinnita, et tunneli liidesel on oodatud aadress ja et sisemine sihtkoht marsruutub selle kaudu; kui algne nõue nimetas lubatud loendi jaoks väljumisaadressi, kinnita ka see aadress, sest see on teine fakt kui see, et tunnel on püsti. Profiil, mis autendib õigesti ega marsruudi midagi, on ikkagi ebaõnnestunud ülesandes, mille jaoks see loodi.