vpnc grupna tajna ili vaša prijava: koje polje preuzima što?

Kad vam netko prvi put preda vpnc profil, dijalog za vjerodajnice pita četiri stvari i čita se kao da želi jednu lozinku. Ne želi: grupna unaprijed dijeljena tajna i pojedinačna XAuth prijava odvojene su vrijednosti s odvojenim vlasnicima, a stavljanje lozinke računa u grupno polje daje grešku koja izgleda kao loša lozinka, a ne kao pogrešno polje. Ispravno razvrstavanje cijeli je zadatak ovdje. Protokol ispod je tuđi projekt migracije, zato ništa od ovoga nije argument za gradnju novih IKEv1 tunela.

Dvije tajne, dva vlasnika, jedan dijalog

Grupna tajna pripada profilu mrežnog prolaza. Svi koji se povezuju preko tog profila koriste istu vrijednost, i upravo zato ona ne može identificirati osobu i ne može se povući s jednog prijenosnika bez promjene za sve ostale korisnike profila. XAuth korisničko ime i lozinka pripadaju čovjeku, a prolaz ih provjerava u drugoj fazi, nakon što je IPsec asocijacija već uspostavljena.

Dvofazni oblik je ono što ljudi propuštaju. Uspostavljanje tunela i autentifikacija korisnika različite su razmjene s različitim ulazima, pa klijent koji nikad ne dođe do upita za vjerodajnice uopće nije pao na prijavi. Čitajte dijalog kao dva stupca, a ne jedan: vrijednosti na razini profila lijevo, osobne vrijednosti desno. Kada veza padne, stupac koji ste zadnji ispunili nije automatski kriv.

Razvrstajte polja po ulozi, ne po oznaci

vpnc imenuje svoje direktive u projektnoj dokumentaciji, a svako grafičko sučelje ih preimenuje. Prevedite ulogu svake vrijednosti i oznake prestaju biti važne:

Sučelje koje pokazuje „Korisničko ime“ i „Lozinku“ pokraj grupnog polja nije pogrešno — to su iste tri vrijednosti pod različitim imenima. Ono što se kvari jest popunjavanje polja zato što vrijednost u njega stane. Grupna tajna zalijepljena kao korisnička lozinka autentificira profil i zatim pada na korisničkoj fazi; lozinka računa zalijepljena kao grupna tajna pada ranije, prije ikakvog upita, i šalje ljude da traže problem u vatrozidima, iako on živi u tekstualnom polju.

Što grupni identifikator nije

Riječ grupa navodi na pogrešno čitanje. Grupni identifikator ovdje je selektor koji govori prolazu koju konfiguraciju profila primijeniti; on ne govori ništa o članstvu u imeniku, a podudarno ime na obje strane slučajnost je dok ga operater ne potvrdi. Autorizacija se događa nakon uspješnog XAutha, odlučuje je ono s čime je prolaz konfiguriran da se savjetuje, i ništa od toga nije vidljivo u klijentskom dijalogu.

Isto se upozorenje odnosi na grupnu tajnu. Znati je nije identitet, a kruženje jedne tajne po timu operativna je odluka s posljedicama koje vam klijent ne može prikazati.

Razriješite dvosmislenu uputu prije povezivanja

Bilješke o primopredaji naslijeđa često sadrže redak poput „koristite namjenski javni IP“. Ta fraza može značiti adresu s koje popis dopuštenja na drugoj strani očekuje dolazak vašeg prometa, što je izlazno svojstvo mreže operatera i nema veze s odredištem koje upisujete u polje prolaza. Pitajte koje se od dvoga misli prije nego vrijednost bilo kamo ode. Ispunjeno obrnuto, šalje svaki paket na adresu koja nikad ne odgovara, a rezultirajući tajmaut izgleda kao blokiran port.

Zatražite četiri stvari preko verificiranog kanala organizacije: koji su klijent i protokol podržani, koje odredište koristiti, koji će identitet prolaz predstaviti i kako se predaju vjerodajnice. Držite prave tajne izvan snimaka zaslona, tiketa i zajedničkih bilješki za rješavanje problema. Ne isključujte provjere certifikata i ne lijepite stari popis šifri da bi drugačije konfigurirana usluga izgledala kompatibilna, jer veza koja radi samo slabjenjem provjere nije veza koju su vam tražili da izgradite.

Čuvajte naslijeđeni profil iskrenim

IKEv1 je zastario, a RFC 9395 dokument je koji se citira kad se pojavi pitanje migracije. Uspješno razvrstavanje polja nije dokaz da protokol pripada novom dizajnu; ono kupuje radnu vezu dok se zamjena ne zakaže, plus pisani opseg i vlasnika te migracije.

Zatim provjerite prema zahtjevu, a ne prema dijalogu. Nakon povezivanja potvrdite da sučelje tunela ima očekivanu adresu i da unutarnje odredište ide kroz njega; ako je izvorni zahtjev imenovao izlaznu adresu za popis dopuštenja, potvrdite i tu adresu, jer je to drugačija činjenica od toga da je tunel podignut. Profil koji se ispravno autentificira i ništa ne usmjerava ipak nije izvršio zadatak zbog kojeg je stvoren.