IKEv1 XAuth eta OTPrekin: zer eskatzen duen eremu bakoitzak
Taldeko PSK bat, erabiltzailearen XAuth trukea eta OTP erronka hiru sarrera desberdin dira. Egonkatu eremu bakoitza bere jabearekin beste bezero bat instalatu aurretik.
IKEv1-k PSK, XAuth eta OTP-rekin ez du pasahitz korapilatsu bat eskatzen. Pareen arteko gako partekatua, erabiltzaile-trukea eta backend-ak nola eskatu erabakitzen duen bigarren faktorea geruzatzen ditu. Geruza bakoitzak bere jabea eta bere errore-mezua ditu. Hauek nahasteak jendea talde-sekretua gordetzen duen eremu batean erabilera bakarreko kodea berridaztera bultzatzen du.
Lotu eremu bakoitza hura eskatzen duen geruzari, beste bezero bat instalatu edo kredentzial bat berrezarri aurretik.
Hiru sekretu, hiru jabe
Aurrez partekatutako gakoa pareen harremanarena da eta behin konfiguratzen du bi muturren jabeak. Erabiltzailearen kredentziala autentifikazio backend-arena da eta saio bakoitzean baliozkotzen da. Bigarren faktorea token sistema batena da, eta haren erantzuna saiakera bakoitzean aldatzen da. Inork ez du bestea ordezkatzen, eta haiek pasahitz bakartzat hartzen dituen inplementazioak inork dokumentatu ez zuen geruzan egiten du huts.
Idatzi hiru zutabe: jabea, iraupena eta bakoitzak sortzen duen errore-mezua. Taula hori da diagnostiko-tresna, eta bezeroaren eremu-izenak ez dira.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: bikotea, ez pertsona
Aurrez partekatutako gakoak atebide-parea autentifikatzen du antolamendu zaharkitu honetan, beraz erabiltzailearen saio-hasierak ez du inoiz ordezkatzen. Era berean, balio okerrena izateko probabilitate handiena duena da, eremu baten ordez negoziazio-errore orokorra sortuz. Tunela erabiltzaile-eremurik agertu aurretik huts egiten badu, gakoa edo proposamenak dira susmagarriak.
Erabiltzaile-kredentzial batek ezin du lehen faseko hutsegitea konpondu. Hura biratzeak segurtasunez biratu dezakezun kredentzial bakarra alferrik galtzen du, eta teoria okerra indartzen du.
XAuth: erabiltzaile-truke zaharra
XAuth-ek erabiltzaile-autentifikazioko truke bat gehitzen du IKEv1-ren pare-autentifikazioaren gainean, eta atebideak erabakitzen du zein backend-ek baliozkotzen duen. Backend horren arabera, trukeak direktorio-pasahitza, RADIUS kredentziala edo token erantzun bat onar dezake. XAuth hitzak trukearen garraioa izendatzen du, ez kredentzial mota.
Egiaztatu atebide-profilak zein backend seinalatzen duen. Horrek esaten dizu zer eskatuko zaion erabiltzaileari eta zer aldatzen duen pasahitzaren berrezarpenak benetan, eta bat ere ez da bezero-profil batean ikusten.
OTP: backend-ak eskatzen duena
Inplementazio batzuek pasahitzaren ondoren erabilera bakarreko kode bereizi bat eskatzen dute, eta beste batzuek dokumentatutako bereizlearekin sarrera-formatu konbinatua definitzen dute. Biak daude, eta zure aurreko profilek erabakitzen du zein. Lehenago beste gune batean funtzionatu zuelako kateaketa bat asmatzea da erregistro-token bat erretzeko modurik ohikoena. Atebidearen beraren dokumentazioa da hori argitzen duen iturri bakarra.
Erabili dokumentatutako formatua atebideak eskaintzen duen trukea osa dezakeen bezero batekin.
Non kosk egiten du bezeroaren mugak
Fortinet-ek dokumentatzen du FortiClient 7.4.4 eta berriagoek jada ez dutela IKEv1 onartzen IPsec VPNetarako, eta hori produktu- eta bertsio-muga da, ez kentze unibertsala, FortiClient-en bateragarritasun-oharra erregistratzen duen bezala. Beste bezeroak ere ez dira trukagarriak: OpenConnect eta openfortivpn atebide-protokolo zehatzak hitz egiten dituzte, ez IKEv1 profil arbitrarioak. Egiaztatu instalatutako bezeroaren IKE bertsioa, PSK modua, XAuth euskarria eta elkarrekintza-eredua bereizita. Beste metodo bat erabiliz konektatzen den bezeroak ez du jatorrizko baldintza frogatu.
IKEv1 zaharkituta dago, beraz bezero zahar onartugaitzean egindako zabalkuntza berria bizitza laburreko irtenbidea da. Eskatu atebidearen jabeari babestutako migrazio-bide bat, bigarren faktorea han nola kudeatuko den barne.
Faktorea desaktibatu gabe diagnostikatzea
Bereizi erregistroan etapak: pareen negoziazioa, erabiltzaile-trukea, bigarren faktorearen emaitza, gero helbide eta bide esleipena. Idatzi osagaia eta etapa, eremu bakoitzean kodea probatu beharrean. Faktorea desaktibatzeak proba bat pasa dadin tunel bat sortzen du, eta horrek ez du ezer frogatzen inplementazioari buruz.
Gorde erregistro-sekretuak eta gako partekatua biltegiratze babestuan, erakundearen prozesuaren arabera. Fitxategi iraunkor batean dagoen erabilera bakarreko kodea faktorea izateari utzi dion faktorea da.