vpnc-ryhmäsalaisuus vai kirjautumisesi: mikä kenttä ottaa mitä?
vpnc-profiili pyytää ryhmätunnisteen, ryhmäsalaisuuden ja XAuth-kirjautumisen, ja ihmiset syöttävät tilin salasanan väärään kenttään. Kuvaa jokainen kenttä sen roolin mukaan.
Kun joku antaa sinulle ensimmäisen kerran vpnc-profiilin, tunnistetietojen valintaikkuna kysyy neljää asiaa ja näyttää siltä kuin haluaisi yhden salasanan. Ei halua: ryhmän ennalta jaettu salaisuus ja henkilökohtainen XAuth-kirjautuminen ovat erillisiä arvoja, joilla on erilliset omistajat, ja tilin salasanan laittaminen ryhmäkenttään tuottaa virheen, joka näyttää siltä, että salasana on väärä, eikä siltä, että kenttä on väärä. Kartoituksen saaminen oikein on koko tehtävä tässä. Alla oleva protokolla on jonkun muun migraatioprojekti, minkä vuoksi mikään tästä ei ole perustelu uusien IKEv1-tunnelien rakentamiselle.
Kaksi salaisuutta, kaksi omistajaa, yksi ikkuna
Ryhmäsalaisuus kuuluu yhdyskäytäväprofiilille. Kaikki sen profiilin kautta yhdistävät käyttävät samaa arvoa, ja juuri siksi se ei voi tunnistaa henkilöä eikä sitä voi peruuttaa yhdeltä kannettavalta muuttamatta sitä kaikille profiilin muille käyttäjille. XAuth-käyttäjätunnus ja -salasana kuuluvat sen sijaan ihmiselle, ja yhdyskäytävä arvioi ne toisessa vaiheessa, kun IPsec-yhteys on jo muodostettu.
Juuri tämän kaksivaiheisen muodon ihmiset ohittavat. Tunnelin muodostus ja käyttäjän todentaminen ovat eri vaihtoja eri syötteillä, joten asiakas, joka ei koskaan saavuta tunnistetietopyyntöä, ei ole epäonnistunut kirjautumisessa lainkaan. Lue ikkuna kahtena sarakkeena yhden sijaan: profiilikohtaiset arvot vasemmalla, henkilökohtaiset arvot oikealla. Kun yhteys epäonnistuu, viimeksi täyttämäsi sarake ei ole automaattisesti syyllinen.
Kartoita kentät roolin, älä merkinnän mukaan
vpnc nimeää direktiivinsä projektin dokumentaatiossa, ja jokainen graafinen käyttöliittymä nimeää ne uudelleen. Käännä jokaisen arvon rooli, niin merkinnöillä ei ole enää väliä:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Käyttöliittymä, joka näyttää «Käyttäjätunnus» ja «Salasana» ryhmäkentän vieressä, ei ole väärin — ne ovat samat kolme arvoa eri nimillä. Rikki menee se, että kenttä täytetään siksi, että arvo mahtuu siihen. Käyttäjän salasanaksi liitetty ryhmäsalaisuus todentaa profiilin ja epäonnistuu sitten käyttäjävaiheessa; ryhmäsalaisuudeksi liitetty tilin salasana epäonnistuu aiemmin, ennen mitään pyyntöä, ja lähettää ihmiset etsimään ongelmaa palomuureista, vaikka se asuu tekstikentässä.
Mikä ryhmätunniste ei ole
Sana ryhmä houkuttelee väärään lukutapaan. Ryhmätunniste on tässä valitsin, joka kertoo yhdyskäytävälle, mitä profiilikonfiguraatiota sovelletaan; se ei kerro mitään hakemistojäsenyydestä, ja molemmilla puolilla täsmäävä nimi on sattumaa, kunnes operaattori vahvistaa sen. Valtuutus tapahtuu XAuthin onnistumisen jälkeen, sen päättää se, mitä yhdyskäytävä on konfiguroitu kysymään, eikä mikään siitä näy asiakkaan ikkunassa.
Sama varovaisuus koskee ryhmäsalaisuutta. Sen tunteminen ei ole identiteetti, ja yhden salaisuuden kierrättäminen tiimissä on operatiivinen päätös, jonka seurauksia asiakas ei voi näyttää sinulle.
Selvitä monitulkintainen ohje ennen yhdistämistä
Perinnön luovutusmuistiinpanoissa on usein rivi kuten «käytä varattua julkista IP:tä». Se lause voi tarkoittaa osoitetta, josta toisella puolella oleva sallittujen luettelo odottaa liikenteesi saapuvan — se on operaattorin verkon lähtöominaisuus eikä liity mitenkään päätepisteeseen, jonka kirjoitat yhdyskäytäväkenttään. Kysy, kumpaa tarkoitetaan, ennen kuin arvo menee minnekään. Väärinpäin täytettynä se lähettää jokaisen paketin osoitteeseen, joka ei koskaan vastaa, ja tuloksena oleva aikakatkaisu luetaan estetyksi portiksi.
Pyydä neljä asiaa organisaation vahvistetun kanavan kautta: mitä asiakasta ja protokollaa tuetaan, mitä päätepistettä käytetään, minkä identiteetin yhdyskäytävä esittää ja miten tunnistetiedot luovutetaan. Pidä todelliset salaisuudet poissa kuvakaappauksista, tiketeistä ja jaetuista vianetsintämuistiinpanoista. Älä poista varmenteiden tarkistuksia käytöstä äläkä liitä vanhaa salausluetteloa, jotta toisin konfiguroitu palvelu näyttäisi yhteensopivalta, koska yhteys, joka toimii vain tarkistusta heikentämällä, ei ole se yhteys, jonka sinua pyydettiin rakentamaan.
Pidä perintöprofiili rehellisenä
IKEv1 on vanhentunut, ja RFC 9395 on asiakirja, johon viitataan, kun migraatiokysymys tulee esiin. Onnistunut kenttäkartoitus ei ole todiste siitä, että protokolla kuuluu uuteen suunnitteluun; se ostaa toimivan yhteyden korvaavan ratkaisun aikatauluttamisen ajaksi sekä kirjallisen laajuuden ja omistajan sille migraatiolle.
Tarkista sitten vaatimusta, älä ikkunaa vasten. Yhdistämisen jälkeen vahvista, että tunnelin rajapinnalla on odotettu osoite ja että sisäinen kohde reitittyy sen kautta; jos alkuperäinen vaatimus nimesi lähtöosoitteen sallittujen luetteloa varten, vahvista myös se osoite, koska se on eri tosiasia kuin se, että tunneli on pystyssä. Profiili, joka todennetaan oikein eikä reititä mitään, on silti epäonnistunut tehtävässä, jota varten se luotiin.