vpnc-csoporttitok vagy a bejelentkezésed: melyik mező mit vesz át?
A vpnc-profil csoportazonosítót, csoporttitkot és XAuth-bejelentkezést kér, az emberek pedig a fiók jelszavát a rossz mezőbe teszik. Minden mezőt a szerepe szerint rendelj hozzá.
Amikor valaki először ad neked egy vpnc-profilt, a hitelesítő párbeszéd négy dolgot kérdez, és úgy olvasódik, mintha egyetlen jelszót akarna. Nem azt akar: a csoport előre megosztott titka és az egyéni XAuth-bejelentkezés külön értékek külön tulajdonosokkal, és a fiók jelszavának a csoportmezőbe írása olyan hibát ad, amely rossz jelszónak látszik, nem rossz mezőnek. A leképezés helyes megértése az egész feladat itt. Az alatta lévő protokoll valaki más migrációs projektje, ezért ebből semmi nem érv új IKEv1-alagutak építésére.
Két titok, két tulajdonos, egy párbeszéd
A csoporttitok az átjáróprofilhoz tartozik. Mindenki, aki azon a profilon keresztül kapcsolódik, ugyanazt az értéket használja, és épp ezért nem azonosíthat egy személyt, és nem vonható vissza egy laptopról anélkül, hogy a profil összes többi felhasználója számára meg ne változtatnák. Az XAuth-felhasználónév és -jelszó helyette az emberhez tartozik, és az átjáró a második szakaszban értékeli őket, miután az IPsec-társítás már áll.
Ez a kétszakaszos forma az, amit az emberek kihagynak. Az alagút létrehozása és a felhasználó hitelesítése különböző cserék különböző bemenetekkel, ezért egy kliens, amely soha nem ér el a hitelesítő kéréshez, egyáltalán nem bukott el a bejelentkezésnél. Olvasd a párbeszédet két oszlopként, ne egyként: profilszintű értékek balra, személyes értékek jobbra. Amikor egy kapcsolat meghibásodik, a legutóbb kitöltött oszlop nem automatikusan a hibás.
A mezőket szerep szerint rendeld hozzá, ne címke szerint
A vpnc a projektdokumentációban nevezi el az irányelveit, és minden grafikus felület átnevezi őket. Fordítsd le az egyes értékek szerepét, és a címkék már nem számítanak:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Egy felület, amely egy csoportmező mellett „Felhasználónév” és „Jelszó” mezőt mutat, nem hibás — ugyanaz a három érték más néven. Az törik el, amikor egy mezőt azért töltenek ki, mert egy érték beleillik. A felhasználói jelszóként beillesztett csoporttitok hitelesíti a profilt, majd elbukik a felhasználói szakaszban; a csoporttitokként beillesztett fiókjelszó korábban, bármilyen kérés előtt elbukik, és az embereket tűzfalakhoz küldi egy olyan probléma miatt, amely egy szövegmezőben él.
Ami a csoportazonosító nem
A csoport szó félreolvasásra csábít. A csoportazonosító itt egy választó, amely megmondja az átjárónak, melyik profilkonfigurációt alkalmazza; semmit nem mond a címtártagságról, és a két oldalon egyező név véletlen, amíg az üzemeltető meg nem erősíti. Az engedélyezés az XAuth sikere után történik, azt dönti el, amit az átjáró konzultálásra konfiguráltak, és mindebből semmi nem látható az ügyfélpárbeszédben.
Ugyanez az óvatosság vonatkozik a csoporttitokra. Ismerni nem identitás, és egy titkot a csapaton belül körbeadni olyan működési döntés, amelynek következményeit a kliens nem tudja megmutatni neked.
Oldd fel a kétértelmű utasítást kapcsolódás előtt
A régi átadási feljegyzésekben gyakran szerepel egy sor, például „használd a dedikált nyilvános IP-t”. Ez a kifejezés jelentheti azt a címet, ahonnan a túloldali engedélyezési lista várja, hogy a forgalmad megérkezzen — ez az üzemeltetői hálózat kilépési tulajdonsága, és semmi köze ahhoz a végponthoz, amelyet az átjáró mezőjébe írsz. Kérdezd meg, melyikre gondolnak, mielőtt az érték bárhová elmegy. Fordítva kitöltve minden csomagot egy soha nem válaszoló címre küld, és az így keletkező időtúllépés blokkolt portként olvasódik.
Négy dolgot kérj a szervezet ellenőrzött csatornáján: melyik kliens és protokoll támogatott, melyik végpontot kell használni, milyen identitást mutat be az átjáró, és hogyan adják át a hitelesítő adatokat. Tartsd a valódi titkokat képernyőképeken, jegyeken és megosztott hibaelhárítási feljegyzéseken kívül. Ne kapcsold ki a tanúsítvány-ellenőrzéseket, és ne illessz be régi titkosítási listát, hogy egy másképp konfigurált szolgáltatás kompatibilisnek tűnjön, mert az a kapcsolat, amely csak az ellenőrzés gyengítésével működik, nem az a kapcsolat, amelyet építened kértek.
Tartsd őszintén a régi profilt
Az IKEv1 elavult, és az RFC 9395 az a dokumentum, amelyet a migrációs kérdés felmerülésekor idézni kell. A sikeres mezőleképezés nem bizonyíték arra, hogy a protokoll új tervezésbe tartozik; amit megvásárol, az egy működő kapcsolat, amíg a csere beütemezésre kerül, plusz írásos hatókör és tulajdonos ahhoz a migrációhoz.
Utána a követelményhez mérj, ne a párbeszédhez. Kapcsolódás után erősítsd meg, hogy az alagút-interfész a várt címet tartja, és hogy egy belső cél forgalma rajta keresztül halad; ha az eredeti követelmény megnevezett egy kilépési címet egy engedélyezési listához, azt a címet is erősítsd meg, mert az más tény, mint hogy az alagút áll. Egy profil, amely helyesen hitelesít és semmit nem irányít, mégis elbukta a feladatot, amelyre létrehozták.