Earráid amháin, trí rún: cén dintiúr VPN a theip?
Taispeánann an cliant earráid amháin do gach céim. Léigh an comhlachas, an mhalartú úsáideora agus an modh sula n-athshocraíonn tú focal faire nár sheiceáil éinne.
Is féidir le «Theip ar an bhfíordheimhniú» tagairt do dheimhniú freastalaí, d’eochair réamhroinnte an mheaisín nó do phasfhocal úsáideora. Braitheann sé ar an bprótacal cé acu atá i gceist, mar sainmhíníonn gach prótacal tacar rún éagsúil. Athshocraigh an ceann mícheart agus fanann an earráid gan athrú. Is é an tslí amach ná a shuíomh cé mhéad cruthúnais a éilíonn an prótacal sula ndéanann tú aon rud a chur in eagar.
Dhá chruthúnas a dhíríonn i dtreonna urchomhaireacha
Caithfidh tollán freagra a thabhairt ar ar éirigh leis an ngeata ceart a shroicheadh, agus ar leithligh cé atá ina úsáideoir. Tá cruthúnas an gheata ar leibhéal meaisín: deimhniú freastalaí, eochair réamhroinnte nó eochair phoiblí statach. Tá cruthúnas an úsáideora ar leibhéal duine: pasfhocal, comhartha, deimhniú cliaint, nó faic ar bith. Treonna urchomhaireacha muiníne iad sin agus ídíonn siad ábhar éagsúil.
Déanann IKEv2 cruthúnas an gheata laistigh de IKE_AUTH agus, nuair a úsáidtear EAP, ritheann sé cruthúnas an úsáideora ina dhiaidh sin i malartú ar leith. Déanann sonraíocht IKEv2 iad a choinneáil mar rannóga ar leith, rud atá ina leid láidir faoin áit le breathnú nuair a chlúdaíonn teachtaireacht amháin an dá bhabhta.
Léigh an chéim, ní an teachtaireacht
Taispeánann an cliant teaghrán earráide amháin is cuma cén chéim a theip, mar sin ní iompraíonn an teaghrán féin beagnach aon eolas. Is é an rud a iompraíonn eolas ná an staid ar féidir leat scrúdú a dhéanamh uirthi ag gach céim: an bhfuil comhlachas ann, ar cuireadh tús le malartú úsáideora agus ar thairg an cliant an modh a bhí uait ag an ngeata. Sórtálann an tábla na céimeanna ar an mbealach sin seachas de réir ainm an phrótacail.
| Stage that failed | Evidence you can inspect | What a password change cannot fix |
|---|---|---|
| The machine proof | no security association in the state list | a mismatched pre-shared key or an untrusted chain |
| The user proof | an association is up while PPP or EAP reports failure | an expired token, a locked account, a missing client key |
| The client's method support | the client offers no method the gateway accepts | a client without the required EAP or key material |
| The server's policy | the gateway rejects before any user exchange starts | a policy that requires a certificate the profile lacks |
Ní bhaineann ach an dara ró le dintiúr ar féidir le húsáideoir é a chlóscríobh arís. Is fíricí cumraíochta iad na trí cinn eile, agus is é an mheaitseáil mhícheart sin an chúis a gcríochnaíonn an oiread sin de na tuarascálacha seo le hathshocrú focal faire nach n-athraíonn aon rud. Léigh an ró a fhreagraíonn do do chruthúnas sula dtéann tú i dteagmháil le réimse.
Taispeánann prótacal dhá rún a chuid cártaí
L2TP thar IPsec a dhéanann an comhaireamh sofheicthe, mar tarlaíonn an dá sheiceáil i bpróisis éagsúla. Caithfidh ciseal IPsec teacht aníos ar dtús le heochair réamhroinnte nó le deimhniú, agus is ansin amháin a dhéanann PPP istigh ann iarracht ar shíniú isteach úsáideora.
Nuair atá rún an mheaisín mícheart, ní fhoirmítear aon chomhlachas agus ní dhéantar iarracht ar dhintiúr an úsáideora riamh. Nuair atá rún an mheaisín ceart agus rún an úsáideora mícheart, tá an comhlachas ann agus diúltaíonn PPP don síniú isteach tar éis an tollán a bheith in airde cheana. Táirgeann an dá rud an teachtaireacht chéanna ar an scáileán ó dhá theagmhas dhifriúla.
sudo swanctl --list-sas
sudo ip xfrm state list
sudo journalctl -u xl2tpd -n 50 --no-pagerCuireann liosta comhlachas folamh deireadh leis an gciseal úsáideora láithreach, mar sin seiceáil é roimh an bhfocal faire. Cuireann comhlachas bunaithe le teipeanna PPP arís agus arís eile i dtreo an taobh eile, chuig an gciseal úsáideora nó chuig an bprótacal fíordheimhniúcháin istigh ann. Níl ceachtar den dá chonclúid ar fáil ó théacs earráide an chliaint.
Cén rud ar a mbraitheann rochtain le pasfhocal amháin i ndáiríre
Tá rochtain le pasfhocal amháin coitianta do L2TP, PPTP, SSTP agus IKEv2 le EAP. Níl aon rogha den sórt sin ag WireGuard ar chor ar bith, mar is eochracha iad a phiaraí seachas úsáideoirí. Maidir le OpenVPN tagann an freagra ó riachtanas deimhniú cliaint an fhreastalaí: leanfaidh geata a éilíonn deimhniú agus pasfhocal araon de bheith ag diúltú do chliant le pasfhocal amháin, cibé rud a chlóscríobhtar sa réimse.
Leanann sé ón bhfreagra céanna cén chomhpháirt atá uait. Éilíonn síniú isteach le pasfhocal faoi IKEv2 cliant a labhraíonn EAP, agus éilíonn síniú isteach le deimhniú eochair phríobháideach an chliaint agus slabhra an fhreastalaí. Suiteáil an ceann mícheart agus léitear an teip mar earráid dintiúir cé gurb é an modh fíordheimhniúcháin féin atá ar iarraidh.
Athraigh rud amháin, ansin ath-thástáil
Suigh trí fhíric ar dtús: cén prótacal atá ag rith, cé mhéad rún a shainmhíníonn sé agus cé acu díobh a bhaineann leis an meaisín seachas leis an úsáideoir. Teipeann meaisíní ag an gcéad chéim agus teipeann daoine ag an dara céim, agus is é an dá rud a mheascadh an fhadhb iomlán seo.
Ansin athraigh go díreach rud amháin agus ath-thástáil ón gcliant céanna. Iompaíonn an smacht sin teip mhearbhallach ina shocrú ar féidir leat cur síos air don chéad duine eile, agus tá sin níos úsáidí ná nasc a oibríonn nach féidir le héinne a mhíniú.