vpnc-groepsgeheim of dyn oanmelding: hokker fjild nimt wat?
In vpnc-profyl freget om in groep-ID, in groepsgeheim en in XAuth-oanmelding, en minsken stopje it accountwachtwurd yn it ferkearde fak. Kartearje elk fjild neffens syn rol.
De earste kear dat immen dy in vpnc-profyl jout, freget de dialooch foar oanmeldgegevens fjouwer dingen en liket as wol er ien wachtwurd. Dat wol er net: in groepsgeheim dat foarôf dield is en in yndividuele XAuth-oanmelding binne aparte wearden mei aparte eigners, en it accountwachtwurd yn it groepsfjild sette jout in flater dy't as in ferkeard wachtwurd liket ynstee fan as in ferkeard fak. De kartering goed krije is de hiele taak hjir. It protokol derûnder is it migraasjeprojekt fan immen oars, dêrom is neat hjirfan in argumint om nije IKEv1-tunnels te bouwen.
Twa geheimen, twa eigners, ien dialooch
In groepsgeheim heart by it gatewayprofyl. Elkenien dy't fia dat profyl ferbynt, brûkt deselde wearde, en dêrom krekt kin it gjin persoan identifisearje en kin it net fan ien laptop weromlutsen wurde sûnder it foar alle oare brûkers fan it profyl te feroarjen. De XAuth-brûkersnamme en it wachtwurd hearre ynstee by de minske, en de gateway beoardielet se yn in twadde faze, nei't de IPsec-assosjaasje al stiet.
Just dy twafasige foarm misse minsken. Tunnelbou en brûkersautentikaasje binne ferskillende útwikselings mei ferskillende ynfier, dus in klant dy't nea by de oanmeldprompt komt, is hielendal net mislearre by de oanmelding. Lês de dialooch as twa kolommen ynstee fan ien: profylbrede wearden lofts, persoanlike wearden rjochts. As in ferbining mislearret, is de kolom dy'tst it lêst folle hast net automatysk de skuldige.
Kartearje de fjilden neffens rol, net neffens label
vpnc neamt syn rjochtlinen yn 'e projektdokumintaasje, en elk grafysk frontend neamt se oars. Oerset de rol fan elke wearde, dan binne de labels net mear fan belang:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
In frontend dy't «Brûkersnamme» en «Wachtwurd» njonken in groepsfjild sjen lit, is net ferkeard — it binne deselde trije wearden ûnder oare nammen. Wat brekt, is in fak folje om't in wearde deryn past. In groepsgeheim dat as brûkerswachtwurd plakt wurdt, autentisearret it profyl en mislearret dan yn 'e brûkersfaze; in accountwachtwurd dat as groepsgeheim plakt wurdt, mislearret earder, foar elke prompt, en stjoert minsken nei brânmuorren te sykjen foar in probleem dat yn in tekstfjild wennet.
Wat in groepsidentifikaasje net is
It wurd groep noeget in ferkearde lêzing út. In groepsidentifikaasje hjir is in selektor dy't de gateway fertelt hokker profylkonfiguraasje tapast wurde moat; it seit neat oer lidmaatskip fan in map, en in oerienkommende namme oan beide kanten is tafal oant de operator it befêstiget. Autorisearring bart nei't XAuth slagge is, besletten troch wat de gateway konfigurearre is om te rieplachtsjen, en neat dêrfan is yn 'e klantdialooch te sjen.
Deselde foarsichtigens jildt foar it groepsgeheim. It witte is gjin identiteit, en ien geheim troch in team rinne litte is in operasjonele beslissing mei gefolgen dy't de klant dy net sjen kin.
Los de dûbelsinnige ynstruksje op foar'tst ferbynt
Oerdrachtsnotysjes fan erfguod befetsje faak in rigel as «brûk de tawiisde iepenbiere IP». Dy sin kin it adres betsjutte dêr't in tastieningslist oan 'e oare kant ferwachtet dat dyn ferkear wei komt, dat is in útgongseigenskip fan it operatornetwurk en hat neat te meitsjen mei it einpunt datst yn it gatewayfjild typst. Freegje hokker fan de twa bedoeld is foar't de wearde earne hinne giet. Oarsom folle stjoert it elk pakket nei in adres dat nea antwurdet, en de resultearjende time-out lêst as in blokkearre poarte.
Freegje fjouwer dingen fia it ferifisearre kanaal fan 'e organisaasje: hokker klant en protokol stipe wurde, hokker einpunt brûkt wurde moat, hokker identiteit de gateway presintearret en hoe't oanmeldgegevens oerdroegen wurde. Hâld echte geheimen bûten skermôfbyldings, tickets en dielde notysjes foar probleemoplossing. Skeakelje sertifikaatkontrôles net út en plak gjin âlde siperse list om in oars konfigurearre tsjinst kompatibel lykje te litten, want in ferbining dy't allinnich wurket troch ferifikaasje te ferswakjen is net de ferbining dy'tst bouwe moatten hiest.
Hâld it erfprofyl earlik
IKEv1 is ferâldere, en RFC 9395 is it dokumint dat oanhelle wurdt as de migraasjefraach opkomt. In slagge fjildkartering is gjin bewiis dat it protokol yn in nij ûntwerp heart; wat it keapet, is in wurkjende ferbining wylst de ferfanging pland wurdt, plus in skriftlike omfang en in eigner foar dy migraasje.
Ferifisearje dan tsjin 'e eask ynstee fan tsjin 'e dialooch. Nei'tst ferbûn hast, befêstigje dat de tunnelinterface it ferwachte adres hat en dat in ynterne bestimming der trochhinne rûte wurdt; as de oarspronklike eask in útgongsadres foar in tastieningslist neamde, befêstigje dat adres ek, want dat is in oar feit as dat de tunnel stiet. In profyl dat korrekt autentisearret en neat rûtelet, hat dochs de taak mislearre dêr't it foar makke is.