راز گروه vpnc یا ورود شما: کدام فیلد چه چیزی می‌گیرد؟
نمایه vpnc شناسه گروه، راز گروه و ورود XAuth می‌خواهد و مردم گذرواژه حساب را در کادر اشتباه می‌گذارند. هر فیلد را بر اساس نقشش نگاشت کنید.
بار اولی که کسی نمایه vpnc را به شما می‌دهد، کادر اعتبارنامه چهار چیز می‌پرسد و طوری خوانده می‌شود که گویی یک گذرواژه می‌خواهد. این‌طور نیست: راز از پیش مشترک گروه و ورود فردی XAuth دو مقدار جدا با دو مالک جدا هستند، و گذاشتن گذرواژه حساب در فیلد گروه شکستی می‌دهد که شبیه گذرواژه بد است نه کادر اشتباه. درست درآوردن این نگاشت تمام کار اینجاست. پروتکل زیرین پروژه مهاجرت شخص دیگری است، و به همین دلیل هیچ‌کدام از این‌ها دلیلی برای ساختن تونل‌های جدید IKEv1 نیست.
دو راز، دو مالک، یک کادر
راز گروه به نمایه دروازه تعلق دارد. هر کسی که از آن نمایه وصل می‌شود همان مقدار را به کار می‌برد، و دقیقاً به همین دلیل نمی‌تواند یک شخص را شناسایی کند و نمی‌توان آن را برای یک لپ‌تاپ پس گرفت بدون آنکه برای همه کاربران دیگر نمایه تغییر کند. نام کاربری و گذرواژه XAuth در عوض به انسان تعلق دارند، و دروازه آن‌ها را در مرحله دوم، پس از آنکه پیوند IPsec برپا شده است، ارزیابی می‌کند.
این شکل دو مرحله‌ای چیزی است که مردم از دست می‌دهند. برپاسازی تونل و احراز هویت کاربر دو تبادل متفاوت با ورودی‌های متفاوت هستند، پس کاربری که هرگز به درخواست اعتبارنامه نمی‌رسد اصلاً در ورود شکست نخورده است. کادر را دو ستون بخوانید نه یک ستون: مقادیر سراسری نمایه در چپ، مقادیر شخصی در راست. وقتی اتصالی شکست می‌خورد، ستونی که آخر از همه پر کرده‌اید به‌طور خودکار ستون مقصر نیست.
فیلدها را بر اساس نقش نگاشت کنید، نه بر اساس برچسب
vpnc دستورهای خود را در مستندات پروژه نام‌گذاری می‌کند و هر رابط گرافیکی آن‌ها را دوباره برچسب می‌زند. نقش هر مقدار را ترجمه کنید، آن‌گاه برچسب‌ها دیگر اهمیتی ندارند:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
رابطی که کنار فیلد گروه «نام کاربری» و «گذرواژه» نشان می‌دهد اشتباه نیست — همان سه مقدار با نام‌های متفاوت است. آنچه می‌شکند پر کردن کادری است چون مقداری در آن جا می‌شود. راز گروهی که به‌عنوان گذرواژه کاربر چسبانده شود نمایه را احراز می‌کند و سپس در مرحله کاربر شکست می‌خورد؛ گذرواژه حسابی که به‌عنوان راز گروه چسبانده شود زودتر، پیش از هر درخواستی شکست می‌خورد و مردم را به جست‌وجوی دیوارهای آتش می‌فرستد برای مشکلی که در یک فیلد متنی زندگی می‌کند.
شناسه گروه چه چیزی نیست
واژه گروه خوانش نادرست را دعوت می‌کند. شناسه گروه در اینجا گزیننده‌ای است که به دروازه می‌گوید کدام پیکربندی نمایه اعمال شود؛ درباره عضویت در فهرست چیزی نمی‌گوید، و هم‌نامی در دو طرف تا وقتی بهره‌بردار تأییدش نکند تصادفی است. مجوزدهی پس از موفقیت XAuth رخ می‌دهد، با آنچه دروازه برای مشورت پیکربندی شده تعیین می‌شود، و هیچ‌یک از این‌ها در کادر کاربر دیده نمی‌شود.
همین احتیاط برای راز گروه هم صادق است. دانستن آن هویت نیست، و گرداندن یک راز در یک تیم تصمیمی عملیاتی با پیامدهایی است که کاربر نمی‌تواند به شما نشان دهد.
دستور مبهم را پیش از اتصال روشن کنید
یادداشت‌های تحویل قدیمی اغلب خطی مانند «از IP عمومی اختصاصی استفاده کنید» دارند. آن عبارت می‌تواند نشانی باشد که فهرست مجاز در طرف مقابل انتظار دارد ترافیک شما از آن برسد، این ویژگی خروجی شبکه بهره‌بردار است و هیچ ربطی به نقطه پایانی که در فیلد دروازه تایپ می‌کنید ندارد. پیش از آنکه مقدار جایی برود بپرسید کدام‌یک منظور است. پر کردن برعکس آن هر بسته را به نشانی می‌فرستد که هرگز پاسخ نمی‌دهد، و مهلت حاصل شبیه درگاه مسدود خوانده می‌شود.
چهار چیز را از کانال تأییدشده سازمان بخواهید: کدام کاربر و پروتکل پشتیبانی می‌شود، کدام نقطه پایانی به کار رود، دروازه چه هویتی ارائه می‌دهد و اعتبارنامه‌ها چگونه تحویل داده می‌شوند. رازهای واقعی را از تصاویر صفحه، تیکت‌ها و یادداشت‌های اشتراکی عیب‌یابی بیرون نگه دارید. بررسی گواهی‌ها را غیرفعال نکنید و فهرست رمز قدیمی را نچسبانید تا سرویسی با پیکربندی متفاوت سازگار به نظر برسد، چون اتصالی که فقط با تضعیف بررسی کار می‌کند اتصالی نیست که از شما خواسته شده بسازید.
نمایه قدیمی را صادق نگه دارید
IKEv1 منسوخ است و RFC 9395 سندی است که وقتی پرسش مهاجرت پیش می‌آید به آن ارجاع می‌شود. نگاشت موفق فیلدها شاهدی بر این نیست که پروتکل به طراحی تازه تعلق دارد؛ آنچه می‌خرد اتصالی کارآمد تا زمان برنامه‌ریزی جایگزین است، به‌همراه دامنه مکتوب و مالکی برای آن مهاجرت.
سپس در برابر نیازمندی راستی‌آزمایی کنید نه در برابر کادر. پس از اتصال تأیید کنید که رابط تونل نشانی مورد انتظار را دارد و مقصدی داخلی از آن مسیر می‌گیرد؛ اگر نیازمندی اصلی نشانی خروجی برای فهرست مجاز نام برده بود، آن نشانی را هم تأیید کنید، چون واقعیتی متفاوت از برپا بودن تونل است. نمایه‌ای که درست احراز می‌شود و چیزی را مسیر نمی‌دهد هنوز در وظیفه‌ای که برایش ساخته شد شکست خورده است.