vpnc ჯგუფის საიდუმლო თუ თქვენი შესვლა: რომელი ველი რას იღებს?
vpnc პროფილი ითხოვს ჯგუფის ID-ს, ჯგუფის საიდუმლოს და XAuth შესვლას, ხალხი კი ანგარიშის პაროლს არასწორ ველში დებს. დააკავშირეთ თითოეული ველი მის როლთან.
პირველად, როცა ვინმე vpnc პროფილს გაძლევთ, რწმუნებათა დიალოგი ოთხ რამეს იკითხავს და ისე იკითხება, თითქოს ერთი პაროლი სურს. ასე არ არის: ჯგუფის წინასწარ გაზიარებული საიდუმლო და ინდივიდუალური XAuth შესვლა ცალკეული მნიშვნელობებია ცალკეული მფლობელებით, და ანგარიშის პაროლის ჯგუფის ველში ჩადება იძლევა ისეთ წარუმატებლობას, რომელიც ცუდ პაროლს ჰგავს და არა არასწორ ველს. ამ დაკავშირების სწორად აგება მთელი სამუშაოა აქ. ქვემოთ მოცემული პროტოკოლი სხვისი მიგრაციის პროექტია, ამიტომ აქედან არაფერი არ არის არგუმენტი ახალი IKEv1 გვირაბების ასაგებად.
ორი საიდუმლო, ორი მფლობელი, ერთი დიალოგი
ჯგუფის საიდუმლო კარიბჭის პროფილს ეკუთვნის. ყველა, ვინც ამ პროფილით უკავშირდება, იმავე მნიშვნელობას იყენებს, და სწორედ ამიტომ ის ვერ ამოიცნობს ადამიანს და ვერ გამოუქვემდებარება ერთ ლეპტოპს პროფილის ყველა სხვა მომხმარებლისთვის შეუცვლელად. XAuth მომხმარებლის სახელი და პაროლი პირიქით ადამიანს ეკუთვნის, და კარიბჭე მათ მეორე ეტაპზე აფასებს, მას შემდეგ რაც IPsec კავშირი უკვე დამყარებულია.
სწორედ ამ ორეტაპიან ფორმას გამოტოვებენ ხალხი. გვირაბის დამყარება და მომხმარებლის ავთენტიფიკაცია სხვადასხვა გაცვლაა სხვადასხვა შეყვანით, ამიტომ კლიენტი, რომელიც არასდროს აღწევს რწმუნებათა მოთხოვნამდე, საერთოდ არ ჩავარდნილა შესვლაში. წაიკითხეთ დიალოგი ორ სვეტად და არა ერთად: პროფილის მასშტაბის მნიშვნელობები მარცხნივ, პირადი მნიშვნელობები მარჯვნივ. როცა კავშირი ვარდება, ბოლოს შევსებული სვეტი ავტომატურად დამნაშავე სვეტი არ არის.
დააკავშირეთ ველები როლის მიხედვით, არა ეტიკეტის
vpnc თავის დირექტივებს პროექტის დოკუმენტაციაში ასახელებს, და ყოველი გრაფიკული ინტერფეისი მათ ხელახლა ასახელებს. თარგმნეთ თითოეული მნიშვნელობის როლი და ეტიკეტებს აღარ ექნებათ მნიშვნელობა:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
ინტერფეისი, რომელიც ჯგუფის ველის გვერდით აჩვენებს „მომხმარებლის სახელს“ და „პაროლს“, არ არის არასწორი — ეს იგივე სამი მნიშვნელობაა სხვადასხვა სახელით. იშლება ის, როცა ველი ივსება იმიტომ, რომ მნიშვნელობა ჯდება მასში. მომხმარებლის პაროლად ჩასმული ჯგუფის საიდუმლო ავთენტიფიცირებს პროფილს და შემდეგ ვარდება მომხმარებლის ეტაპზე; ჯგუფის საიდუმლოდ ჩასმული ანგარიშის პაროლი უფრო ადრე, ნებისმიერ მოთხოვნამდე ვარდება და ხალხს ხანძარსაწინააღმდეგო კედლებთან აგზავნის პრობლემის საძებნელად, რომელიც ტექსტურ ველში ცხოვრობს.
რა არ არის ჯგუფის იდენტიფიკატორი
სიტყვა ჯგუფი არასწორ კითხვას იწვევს. ჯგუფის იდენტიფიკატორი აქ ამომრჩევია, რომელიც კარიბჭეს ეუბნება, რომელი პროფილის კონფიგურაცია გამოიყენოს; ის არაფერს ამბობს კატალოგის წევრობაზე, და ორივე მხარეს დამთხვეული სახელი შემთხვევითობაა, ვიდრე ოპერატორი დაადასტურებს. ავტორიზაცია ხდება XAuth-ის წარმატების შემდეგ, მას განსაზღვრავს ის, რისი კონსულტირებაც კარიბჭეს კონფიგურირდება, და ამ ყველაფრიდან არაფერი ჩანს კლიენტის დიალოგში.
იგივე სიფრთხილე ეხება ჯგუფის საიდუმლოს. მისი ცოდნა იდენტობა არ არის, და ერთი საიდუმლოს გუნდში ტრიალი ოპერაციული გადაწყვეტილებაა შედეგებით, რომლებსაც კლიენტი ვერ გაჩვენებთ.
გადაწყვიტეთ ორაზროვანი მითითება დაკავშირებამდე
ძველი გადაცემის ჩანაწერებში ხშირად არის სტრიქონი, როგორიცაა „გამოიყენეთ გამოყოფილი საჯარო IP“. ეს ფრაზა შეიძლება ნიშნავდეს იმ მისამართს, საიდანაც მეორე მხარის ნებართვების სია თქვენი ტრაფიკის მოსვლას ელოდება, ეს ოპერატორის ქსელის გასასვლელი თვისებაა და არაფერი აქვს საერთო იმ საბოლოო წერტილთან, რომელსაც კარიბჭის ველში ბეჭდავთ. ჰკითხეთ, რომელი ორიდან იგულისხმება, სანამ მნიშვნელობა სადმე წავა. პირიქით შევსებული, ის ყოველ პაკეტს უგზავნის მისამართს, რომელიც არასდროს პასუხობს, და შედეგად მიღებული დროის ამოწურვა დაბლოკილი პორტივით იკითხება.
მოითხოვეთ ოთხი რამ ორგანიზაციის დადასტურებული არხით: რომელი კლიენტი და პროტოკოლია მხარდაჭერილი, რომელი საბოლოო წერტილი გამოიყენოს, რა იდენტობას წარმოადგენს კარიბჭე და როგორ გადაეცემა რწმუნებები. ნამდვილი საიდუმლოებები შეინახეთ ეკრანის სურათების, ბილეთების და საერთო ხარვეზების მოძიების ჩანაწერების გარეთ. არ გამორთოთ სერტიფიკატების შემოწმება და არ ჩასვათ ძველი შიფრების სია, რათა სხვანაირად კონფიგურირებული სერვისი თავსებადი ჩანდეს, რადგან კავშირი, რომელიც მუშაობს მხოლოდ შემოწმების შესუსტებით, არ არის ის კავშირი, რომლის აშენებაც გთხოვეს.
შეინახეთ მემკვიდრე პროფილი პატიოსნად
IKEv1 მოძველებულია, და RFC 9395 ის დოკუმენტია, რომელზეც მიგრაციის კითხვის დროს უნდა მივუთითოთ. ველების წარმატებული დაკავშირება არ არის მტკიცებულება, რომ პროტოკოლი ახალ დიზაინს ეკუთვნის; ის ყიდულობს მუშა კავშირს, სანამ ჩანაცვლება დაიგეგმება, პლუს წერილობითი მოცულობა და ამ მიგრაციის მფლობელი.
შემდეგ შეამოწმეთ მოთხოვნის მიმართ და არა დიალოგის. დაკავშირების შემდეგ დაადასტურეთ, რომ გვირაბის ინტერფეისს აქვს მოსალოდნელი მისამართი და რომ შიდა დანიშნულება მის გავლით მარშრუტირდება; თუ თავდაპირველი მოთხოვნა ასახელებდა გასასვლელ მისამართს ნებართვების სიისთვის, დაადასტურეთ ის მისამართიც, რადგან ეს სხვა ფაქტია, ვიდრე გვირაბის აწეული ყოფნა. პროფილი, რომელიც სწორად ავთენტიფიცირდება და არაფერს მარშრუტირებს, მაინც ჩავარდა იმ ამოცანაში, რისთვისაც შეიქმნა.