vpnc talde-sekretua edo zure saio-hasiera: zein eremuk hartzen du zer?
vpnc profil batek talde-ID bat, talde-sekretu bat eta XAuth saio-hasiera eskatzen ditu, eta jendeak kontuko pasahitza kutxa okerrean jartzen du. Esleitu eremu bakoitza bere rolaren arabera.
Norbaiti lehen aldiz vpnc profil bat ematen diozunean, kredentzialen elkarrizketak lau gauza eskatzen ditu eta pasahitz bakarra nahi balu bezala irakurtzen da. Ez du: aldez aurretik partekatutako talde-sekretua eta banakako XAuth saio-hasiera balio bereiziak dira, jabe bereiziak dituztenak, eta kontuko pasahitza talde-eremuan jartzeak pasahitz txarra ematen duen hutsa sortzen du, kutxa okerra eman beharrean. Mapa ondo lortzea da hemen zeregin osoa. Azpian dagoen protokoloa beste norbaiten migrazio-proiektua da, eta horregatik horietako ezer ez da IKEv1 tunel berriak eraikitzeko argudioa.
Bi sekretu, bi jabe, elkarrizketa bat
Talde-sekretua atebidearen profilekoa da. Profil horretatik konektatzen diren guztiek balio bera erabiltzen dute, eta horrexegatik ezin du pertsona bat identifikatu, eta ezin da ordenagailu batetik kendu profileko beste erabiltzaile guztientzat aldatu gabe. XAuth erabiltzaile-izena eta pasahitza pertsonarenak dira, berriz, eta atebideak bigarren etapa batean ebaluatzen ditu, IPsec elkartea jada altxatuta dagoenean.
Bi etapako forma hori da jendeak ahazten duena. Tunelaren ezarpena eta erabiltzailearen autentifikazioa elkartruke ezberdinak dira, sarrera ezberdinekin, beraz kredentzialen eskaerara inoiz iristen ez den bezeroak ez du saio-hasieran huts egin. Irakurri elkarrizketa bi zutabe bezala, bat bezala beharrean: profileko balioak ezkerrean, balio pertsonalak eskuinean. Konexio batek huts egiten duenean, azkenik bete duzun zutabea ez da automatikoki erruduna.
Esleitu eremuak rolaren arabera, etiketaren arabera beharrean
vpnc-k bere direktibak proiektuaren dokumentazioan izendatzen ditu, eta interfaze grafiko bakoitzak berrizendatzen ditu. Itzuli balio bakoitzaren rola, eta etiketek garrantzia izateari uzten diote:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Talde-eremu baten ondoan «Erabiltzaile-izena» eta «Pasahitza» erakusten dituen interfaze bat ez da okerra — hiru balio berak dira, izen ezberdinekin. Apurtzen dena kutxa bat betetzea da, balio bat bertan sartzen delako. Erabiltzaile-pasahitz gisa itsatsitako talde-sekretuak profila autentifikatzen du eta gero erabiltzaile-etapan huts egiten du; talde-sekretu gisa itsatsitako kontu-pasahitzak lehenago huts egiten du, edozein eskakizunen aurretik, eta jendea suebakietara bidaltzen du testu-eremu batean bizi den arazo baten bila.
Zer ez den talde-identifikatzailea
Talde hitzak irakurketa okerra proposatzen du. Hemen talde-identifikatzailea atebideari zein profil-konfigurazio aplikatu esaten dion hautatzailea da; ez du ezer esaten direktorio-kidetzari buruz, eta bi aldeetako izen bat etortzea kasualitatea da operadoreak baieztatu arte. Baimena XAuth arrakastatsuaren ondoren gertatzen da, atebidea kontsultatzeko konfiguratuta dagoenaren arabera erabakita, eta horietako ezer ez da bezeroaren elkarrizketan ikusten.
Kontu handi bera da talde-sekretuarentzat. Hura ezagutzea ez da identitatea, eta sekretu bat talde osoan mugitzea ondorioak dituen erabaki operatiboa da, bezeroak erakutsi ezin dizkizunak.
Argitu argibide anbiguoa konektatu aurretik
Ondareko eskualdatze-oharrek maiz «erabili IP publiko dedikatua» bezalako lerro bat dute. Esaldi horrek beste aldeko baimen-zerrenda batek zure trafikoa nora iristea espero duen helbidea izan daiteke, hau operadorearen sarearen irteera-propietatea da eta ez du zerikusirik atebidearen eremuan idazten duzun amaierako puntuarekin. Galdetu bietatik zein ari den esan nahi, balioa inora joan aurretik. Alderantziz beteta, inoiz erantzuten ez duen helbide batera bidaltzen du pakete bakoitza, eta sortutako denbora-muga blokeatutako ataka bat bezala irakurtzen da.
Eskatu lau gauza erakundearen kanal egiaztatuaren bidez: zein bezero eta protokolo onartzen diren, zein amaierako puntu erabili, zein identitate aurkeztuko duen atebideak eta nola ematen diren kredentzialak. Mantendu benetako sekretuak pantaila-argazkietatik, txartelatik eta arazoak konpontzeko ohar partekatuetatik kanpo. Ez desgaitu ziurtagirien egiaztapenak eta ez itsatsi zifratze-zerrenda zahar bat, beste modu batean konfiguratutako zerbitzua bateragarria dirudien, egiaztapena ahulduz soilik funtzionatzen duen konexioa ez delako eraikitzeko eskatu zizuten konexioa.
Mantendu ondare-profila zintzo
IKEv1 zaharkituta dago, eta RFC 9395 da migrazio-galdera sortzean aipatzeko dokumentua. Eremuen mapaketa egiteak ez du frogatzen protokoloa diseinu berri batekoa denik; lortzen duena konexio funtzionala da ordezkoa programatuta dagoen bitartean, gehi idatzizko irismena eta migrazio horren jabea.
Gero egiaztatu eskakizunaren aurka, elkarrizketaren aurka beharrean. Konektatu ondoren, berretsi tunelaren interfazeak espero den helbidea duela eta barne-helmuga bat bertatik bideratzen dela; jatorrizko eskakizunak baimen-zerrenda baterako irteera-helbidea aipatu bazuen, berretsi helbide hori ere, tunela altxatuta egotea baino egitate ezberdina baita. Zuzen autentifikatzen eta ezer bideratzen ez duen profilek huts egin du sortu zen zereginean oraindik.