Rahasia grup vpnc atau login Anda: kolom mana mengisi apa?
Profil vpnc meminta ID grup, rahasia grup, dan login XAuth, dan orang memasukkan kata sandi akun ke kotak yang salah. Petakan setiap kolom menurut perannya.
Saat pertama kali seseorang memberi Anda profil vpnc, dialog kredensial menanyakan empat hal dan terbaca seolah menginginkan satu kata sandi. Bukan: rahasia grup yang dibagikan sebelumnya dan login XAuth individual adalah nilai terpisah dengan pemilik terpisah, dan menaruh kata sandi akun di kolom grup menghasilkan kegagalan yang tampak seperti kata sandi salah, bukan kolom salah. Memetakan dengan benar adalah seluruh tugas di sini. Protokol di bawahnya adalah proyek migrasi orang lain, karena itu tidak satu pun dari ini menjadi alasan membangun terowongan IKEv1 baru.
Dua rahasia, dua pemilik, satu dialog
Rahasia grup milik profil gateway. Semua yang terhubung melalui profil itu memakai nilai yang sama, dan itulah sebabnya nilai itu tidak dapat mengidentifikasi orang dan tidak dapat ditarik dari satu laptop tanpa mengubahnya untuk semua pengguna profil lainnya. Nama pengguna dan kata sandi XAuth sebaliknya milik manusia, dan gateway menilainya pada tahap kedua setelah asosiasi IPsec sudah menyala.
Bentuk dua tahap inilah yang orang lewatkan. Pembentukan terowongan dan autentikasi pengguna adalah pertukaran berbeda dengan masukan berbeda, jadi klien yang tidak pernah mencapai permintaan kredensial sama sekali tidak gagal pada login. Baca dialog sebagai dua kolom, bukan satu: nilai seluruh profil di kiri, nilai pribadi di kanan. Ketika koneksi gagal, kolom yang terakhir Anda isi tidak otomatis menjadi kolom yang salah.
Petakan kolom menurut peran, bukan menurut label
vpnc menamai direkstifnya dalam dokumentasi proyek, dan setiap antarmuka grafis mengganti namanya. Terjemahkan peran setiap nilai, maka labelnya tidak lagi penting:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Antarmuka yang menampilkan «Nama pengguna» dan «Kata sandi» di samping kolom grup tidak salah — itu tiga nilai yang sama dengan nama berbeda. Yang rusak adalah mengisi kotak karena suatu nilai cocok di sana. Rahasia grup yang ditempel sebagai kata sandi pengguna mengautentikasi profil lalu gagal di tahap pengguna; kata sandi akun yang ditempel sebagai rahasia grup gagal lebih awal, sebelum permintaan apa pun, dan mengirim orang memeriksa tembok api untuk masalah yang hidup di kolom teks.
Apa yang bukan pengenal grup
Kata grup mengundang pembacaan yang keliru. Pengenal grup di sini adalah pemilih yang memberi tahu gateway konfigurasi profil mana yang diterapkan; itu tidak mengatakan apa pun tentang keanggotaan direktori, dan nama yang sama di kedua sisi adalah kebetulan sampai operator mengonfirmasinya. Otorisasi terjadi setelah XAuth berhasil, diputuskan oleh apa pun yang gateway dikonfigurasi untuk konsultasikan, dan tidak satu pun dari itu terlihat di dialog klien.
Kewaspadaan yang sama berlaku untuk rahasia grup. Mengetahuinya bukan identitas, dan mengedarkan satu rahasia ke seluruh tim adalah keputusan operasional dengan konsekuensi yang tidak dapat ditampilkan klien kepada Anda.
Selesaikan instruksi yang ambigu sebelum terhubung
Catatan serah terima lama sering berisi baris seperti «gunakan IP publik khusus». Frasa itu bisa berarti alamat dari mana daftar izin di sisi jauh mengharapkan lalu lintas Anda datang, yang merupakan sifat keluar jaringan operator dan tidak ada hubungannya dengan titik akhir yang Anda ketikkan di kolom gateway. Tanyakan mana dari keduanya yang dimaksud sebelum nilai itu pergi ke mana pun. Diisi terbalik, itu mengirim setiap paket ke alamat yang tidak pernah menjawab, dan waktu tunggu yang dihasilkan terbaca seperti port yang diblokir.
Minta empat hal melalui saluran terverifikasi organisasi: klien dan protokol mana yang didukung, titik akhir mana yang dipakai, identitas apa yang akan ditampilkan gateway, dan bagaimana kredensial diserahkan. Jauhkan rahasia nyata dari tangkapan layar, tiket, dan catatan pemecahan masalah bersama. Jangan nonaktifkan pemeriksaan sertifikat atau menempelkan daftar sandi lama agar layanan yang dikonfigurasi berbeda tampak kompatibel, karena koneksi yang hanya berfungsi dengan melemahkan verifikasi bukanlah koneksi yang diminta untuk Anda bangun.
Jaga kejujuran profil lama
IKEv1 sudah usang, dan RFC 9395 adalah dokumen yang dikutip saat pertanyaan migrasi muncul. Pemetaan kolom yang berhasil bukan bukti bahwa protokol itu cocok untuk desain baru; yang dibelinya adalah koneksi yang berfungsi selama penggantian dijadwalkan, ditambah cakupan tertulis dan pemilik untuk migrasi itu.
Lalu verifikasi terhadap persyaratan, bukan terhadap dialog. Setelah terhubung, pastikan antarmuka terowongan memegang alamat yang diharapkan dan bahwa tujuan internal dirutekan melaluinya; jika persyaratan awal menyebut alamat keluar untuk daftar izin, pastikan juga alamat itu, karena itu fakta berbeda dari terowongan yang menyala. Profil yang mengautentikasi dengan benar dan tidak merutekan apa pun tetap gagal pada tugas yang menjadi alasan pembuatannya.