IKEv1-ը XAuth-ի և OTP-ի հետ՝ ինչ է պահանջում յուրաքանչյուր դաշտը
Խմբային PSK-ն, օգտատիրոջ XAuth փոխանակումը և OTP մարտահրավերը երեք տարբեր մուտքեր են։ Նախքան մեկ այլ հաճախորդ տեղադրելը՝ կապեք յուրաքանչյուր դաշտն իր տիրոջ հետ։
IKEv1-ը PSK-ի, XAuth-ի և OTP-ի հետ չի պահանջում մեկ բարդ գաղտնաբառ։ Այն շերտավորում է գործընկերների միջև ընդհանուր բանալին, օգտատիրոջ փոխանակումը և երկրորդ գործոնը, որը բեքենդը որոշում է, թե ինչպես պահանջել։ Յուրաքանչյուր շերտ ունի իր տերը և իր սխալի հաղորդագրությունը։ Դրանք շփոթելը մարդկանց ստիպում է մեկանգամյա կոդը նորից մուտքագրել դաշտ, որը պահում է խմբային գաղտնիք։
Նախքան մեկ այլ հաճախորդ տեղադրելը կամ հավատարմագրումը վերականգնելը՝ կապեք յուրաքանչյուր դաշտն այն շերտի հետ, որը պահանջում է այն։
Երեք գաղտնիք, երեք տեր
Նախապես ընդհանուր բանալին պատկանում է գործընկերների հարաբերությանը և մեկ անգամ կարգավորվում է նրա կողմից, ով տիրապետում է երկու ծայրերին։ Օգտատիրոջ հավատարմագրումը պատկանում է նույնականացման բեքենդին և ստուգվում է յուրաքանչյուր մուտքի ժամանակ։ Երկրորդ գործոնը պատկանում է նշանային համակարգին, որի պատասխանը փոխվում է յուրաքանչյուր փորձի ժամանակ։ Ոչ մեկը չի փոխարինում մյուսին, և տեղադրումը, որը դրանք դիտարկում է որպես մեկ գաղտնաբառ, ձախողվում է այն շերտում, որը ոչ ոք չի փաստաթղթավորել։
Գրեք երեք սյունակ՝ տեր, կյանքի տևողություն և սխալի հաղորդագրությունը, որը տալիս է յուրաքանչյուրը։ Այդ աղյուսակը ախտորոշիչ գործիքն է, և ոչ թե հաճախորդի դաշտերի անունները։
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK՝ գործընկերը, ոչ անձը
Նախապես ընդհանուր բանալին այս հին դասավորության մեջ նույնականացնում է դարպասների զույգին, ուստի օգտատիրոջ մուտքը երբեք չի փոխարինում այն։ Այն նաև ամենահավանական սխալ արժեքն է այնպես, որ դաշտի փոխարեն առաջանում է բանակցության ընդհանուր սխալ։ Երբ թունելը ձախողվում է ցանկացած օգտատիրոջ դաշտ հայտնվելուց առաջ, կասկածյալները բանալին կամ առաջարկներն են։
Օգտատիրոջ հավատարմագրումը չի կարող շտկել առաջին փուլի ձախողումը։ Այն պտտելը վատնում է միակ հավատարմագրումը, որը կարող եք ապահով պտտել, և ամրապնդում է սխալ տեսությունը։
XAuth՝ հին օգտատիրոջ փոխանակումը
XAuth-ը ավելացնում է օգտատիրոջ նույնականացման փոխանակում IKEv1-ի գործընկերոջ նույնականացման վրա, և դարպասը որոշում է, թե որ բեքենդը կստուգի այն։ Կախված այդ բեքենդից՝ փոխանակումը կարող է ընդունել գրացուցակի գաղտնաբառ, RADIUS հավատարմագրում կամ նշանի պատասխան։ XAuth բառը անվանում է փոխանակման տեղափոխումը, ոչ թե հավատարմագրման տեսակը։
Ստուգեք, թե որ բեքենդին է ուղղված դարպասի պրոֆիլը։ Դա ասում է, թե ինչ կպահանջվի օգտատիրոջից և ինչ է իրականում փոխում գաղտնաբառի վերականգնումը, և ոչ մեկը չի երևում հաճախորդի պրոֆիլում։
OTP՝ ինչ պահանջի բեքենդը
Որոշ տեղադրումներ գաղտնաբառից հետո պահանջում են առանձին մեկանգամյա կոդ, իսկ մյուսները սահմանում են փաստաթղթավորված բաժանիչով միավորված մուտքագրման ձևաչափ։ Երկուսն էլ գոյություն ունեն, և ձեր առջևի պրոֆիլն է որոշում, թե որն է։ Միացում հորինելը, քանի որ այն աշխատել է այլ տեղ, գրանցման նշանն այրելու ամենատարածված ձևն է։ Դարպասի սեփական փաստաթղթավորումը միակ աղբյուրն է, որը լուծում է դա։
Օգտագործեք փաստաթղթավորված ձևաչափը այնպիսի հաճախորդի հետ, որը կարող է ավարտին հասցնել դարպասի առաջարկած փոխանակումը։
Որտեղ է կծում հաճախորդի սահմանը
Fortinet-ը փաստաթղթավորում է, որ FortiClient 7.4.4-ը և ավելի նորերը այլևս չեն աջակցում IKEv1-ին IPsec VPN-ների համար, ինչը արտադրանքի և տարբերակի սահման է, ոչ թե համընդհանուր հեռացում, ինչպես FortiClient համատեղելիության նշումը գրանցում է։ Այլ հաճախորդներն նույնպես փոխանակելի չեն. OpenConnect-ը և openfortivpn-ը խոսում են կոնկրետ դարպասային արձանագրություններով, ոչ թե կամայական IKEv1 պրոֆիլներով։ Ստուգեք տեղադրված հաճախորդի IKE տարբերակը, PSK ռեժիմը, XAuth աջակցությունը և փոխազդեցության մոդելը առանձին։ Այլ մեթոդով միացող հաճախորդը չի ապացուցել սկզբնական պահանջը։
IKEv1-ը հնացած է, ուստի չաջակցվող հին հաճախորդի վրա նոր տեղադրումը կարճատև լուծում է։ Դարպասի տիրոջից պահանջեք աջակցվող միգրացիայի ուղի, ներառյալ, թե ինչպես այնտեղ կմշակվի երկրորդ գործոնը։
Ախտորոշում՝ առանց գործոնն անջատելու
Առանձնացրեք փուլերը մատյանում՝ գործընկերների բանակցություն, օգտատիրոջ փոխանակում, երկրորդ գործոնի արդյունք, ապա հասցեի և երթուղու հատկացում։ Գրանցեք բաղադրիչը և փուլը՝ փոխարենը ամեն դաշտում կոդը փորձելու։ Գործոնն անջատելը, որպեսզի թեստը անցնի, ստեղծում է թունել, որն ոչինչ չի ապացուցում տեղադրման մասին։
Պահեք գրանցման գաղտնիքները և ընդհանուր բանալին պաշտպանված պահոցում՝ կազմակերպության գործընթացի համաձայն։ Մշտական ֆայլում մեկանգամյա կոդը գործոն է, որը դադարել է գործոն լինելուց։