vpnc hópsleyndarmál eða innskráningin þín: hvaða reitur tekur hvað?
vpnc-snið biður um hóp-ID, hópsleyndarmál og XAuth-innskráningu, og fólk setur lykilorð reikningsins í rangan reit. Kortleggðu hvern reit eftir hlutverki hans.
Í fyrsta skipti sem einhver gefur þér vpnc-snið biður auðkennisglugginn um fjóra hluti og lesst út eins og hann vilji eitt lykilorð. Hann vill það ekki: hópsleyndarmál sem deilt er fyrirfram og einstaklingsbundin XAuth-innskráning eru aðskilin gildi með aðskildum eigendum, og að setja lykilorð reikningsins í hópreitinn gefur bilun sem lítur út eins og slæmt lykilorð frekar en rangan reit. Að fá kortlagninguna rétta er allt verkefnið hér. Siðareglurnar undir eru flutningsverkefni einhvers annars, og þess vegna er ekkert af þessu rök fyrir því að byggja ný IKEv1-göng.
Tvö leyndarmál, tveir eigendur, einn gluggi
Hópsleyndarmál tilheyrir hliðarsniðinu. Allir sem tengjast í gegnum það snið nota sama gildið, og einmitt þess vegna getur það ekki auðkennt einstakling og ekki verið dregið til baka frá einni fartölvu án þess að breyta því fyrir alla aðra notendur sniðsins. XAuth-notandanafn og lykilorð tilheyra manneskjunni í staðinn, og hliðið metur þau á öðru stigi eftir að IPsec-tengingin er þegar komin upp.
Það er þetta tveggja þrepa form sem fólk missir af. Uppsetning ganganna og auðkenning notandans eru mismunandi skipti með mismunandi inntak, svo biðlari sem kemst aldrei að auðkenniskvaðningunni hefur alls ekki mistekist við innskráninguna. Lestu gluggann sem tvo dálka en ekki einn: gildi fyrir allt sniðið til vinstri, persónuleg gildi til hægri. Þegar tenging mistekst er dálkurinn sem þú fylltir út síðast ekki sjálfkrafa sá seki.
Kortleggðu reitina eftir hlutverki, ekki eftir merki
vpnc nefnir tilskipanir sínar í verkefnaskjölunum, og hvert grafískt viðmót endurnefnir þær. Þýddu hlutverk hvers gildis og merkin hætta að skipta máli:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Viðmót sem sýnir „Notandanafn“ og „Lykilorð“ við hlið hópreits er ekki rangt — þetta eru sömu þrjú gildin undir mismunandi nöfnum. Það sem brotnar er að fylla reit af því að gildi passar í hann. Hópsleyndarmál sem límt er sem notendalykilorð auðkennir sniðið og mistekst svo á notendastiginu; reikningslykilorð sem límt er sem hópsleyndarmál mistekst fyrr, fyrir hvaða kvaðningu sem er, og sendir fólk að skoða eldveggi vegna vandamáls sem býr í textareit.
Hvað hópaauðkenni er ekki
Orðið hópur freistar rangrar lestrar. Hópaauðkenni hér er val sem segir hliðinu hvaða sniðstillingu eigi að beita; það segir ekkert um aðild að skrá, og samhljóða nafn á báðum hliðum er tilviljun þar til rekstraraðilinn staðfestir það. Heimild á sér stað eftir að XAuth tekst, ákveðin af því sem hliðið er stillt til að leita ráða hjá, og ekkert af þessu er sýnilegt í glugga biðlarans.
Sama varúð á við um hópsleyndarmálið. Að þekkja það er ekki auðkenni, og að láta eitt leyndarmál ganga á hring í teymi er rekstrarákvörðun með afleiðingar sem biðlarinn getur ekki sýnt þér.
Leystu hið tvíræða fyrirmæli áður en þú tengist
Arfleifðarafhendingarnótur innihalda oft línu eins og „notaðu hið sérstaka opinbera IP“. Þessi setning getur átt við heimilisfangið sem leyfislisti hinum megin býst við að umferð þín komi frá, sem er útgöngueiginleiki rekstrarandnetsins og hefur ekkert með endapunktinn að gera sem þú slærð inn í hliðarreitinn. Spurðu hvort tveggja sé átt við áður en gildið fer eitthvert. Fyllt öfugt sendir það hvert pakka á heimilisfang sem svarar aldrei, og tímaútrunnið sem af því leiðir er lesið eins og lokaður port.
Biddu um fjóra hluti í gegnum staðfesta rás stofnunarinnar: hvaða biðlari og samskiptareglur eru studdar, hvaða endapunkt á að nota, hvaða auðkenni hliðið muni sýna og hvernig auðkennum er komið á framfæri. Haltu raunverulegum leyndarmálum utan skjámynda, miða og sameiginlegra bilanatilgreininganótna. Slökktu ekki á skírteinaathugunum og límdu ekki gamlan dulritunarlista til að láta öðruvísi stillta þjónustu líta út fyrir að vera samhæfa, því tenging sem virkar aðeins með því að veikja sannprófun er ekki tengingin sem þér var sagt að byggja.
Haltu arfleifðarsniðinu heiðarlegu
IKEv1 er úrelt, og RFC 9395 er skjalið sem vitnað er í þegar flutningsspurningin kemur upp. Árangursrík reitakortlagning er ekki sönnun þess að samskiptareglurnar eigi heima í nýrri hönnun; það sem hún kaupir er virk tenging meðan skiptin eru tímasett, auk skriflegs umfangs og eiganda að þeim flutningi.
Staðfestu síðan gagnvart kröfunni en ekki gagnvart glugganum. Eftir tengingu skaltu staðfesta að gangaviðmótið hafi vænt heimilisfang og að innri áfangastaður sé leiddur í gegnum það; ef upprunalega krafan nefndi útgönguheimilisfang fyrir leyfislista skaltu einnig staðfesta það heimilisfang, því það er önnur staðreynd en að gangurinn sé kominn upp. Snið sem auðkennir rétt og leiðir ekkert hefur samt mistekist verkefnið sem það var búið til fyrir.