IKEv1 XAuth және OTP-мен: әр сұраныс нені талап етеді
Топтық PSK, пайдаланушының XAuth алмасуы және OTP сынағы — үш түрлі кіріс. Басқа клиент орнатпас бұрын әр сұранысты оның иесіне сәйкестендіріңіз.
PSK, XAuth және OTP-мен IKEv1 бір күрделі құпиясөзді талап етпейді. Ол теңдестер арасындағы ортақ кілтті, пайдаланушы алмасуын және backend қалай сұрауды шешетін екінші факторды қабаттап қояды. Әр қабаттың өз иесі және өз қате хабарламасы бар. Оларды шатастыру адамдарды топтық құпияны сақтайтын өріске бір реттік кодты қайта теруге мәжбүр етеді.
Басқа клиент орнатар немесе тіркелгі деректерін қалпына келтірер алдында әр сұранысты оны талап ететін қабатқа сәйкестендіріңіз.
Үш құпия, үш ие
Алдын ала бөлісілген кілт теңдестер қатынасына жатады және оны екі ұшты басқаратын адам бір рет баптайды. Пайдаланушы тіркелгісі аутентификация backend-іне жатады және әр кіруде тексеріледі. Екінші фактор жауабы әр әрекетте өзгеретін токен жүйесіне жатады. Ешқайсысы басқасының орнын баспайды, ал үшеуін бір құпиясөз деп қарайтын орналастыру ешкім құжаттамаған қабатта сәтсіздікке ұшырайды.
Үш баған жазыңыз: иесі, қолданылу мерзімі және әрқайсысы шығаратын қате хабарламасы. Диагностика құралы — сол кесте, клиенттегі өріс атаулары емес.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: адамның емес, теңдестің
Бұл ескі реттеуде алдын ала бөлісілген кілт шлюз жұбын аутентификациялайды, сондықтан пайдаланушының кіруі оны ешқашан алмастырмайды. Ол сондай-ақ сұраныс орнына жалпы келіссөз қатесін тудыратын түрде жиі қате болатын мән. Туннель кез келген пайдаланушы сұранысы пайда болмай тұрып істен шықса, күдіктілер — кілт немесе ұсыныстар.
Пайдаланушы тіркелгісі бірінші фазаның ақауын түзете алмайды. Оны айналдыру қауіпсіз айналдыруға болатын жалғыз тіркелгіні жұмсайды және қате теорияны күшейтеді.
XAuth: ескі пайдаланушы алмасуы
XAuth IKEv1 теңдес аутентификациясының үстіне пайдаланушы аутентификациясының алмасуын қосады және қай backend оны тексеретінін шлюз шешеді. Сол backend-ке байланысты алмасу каталог құпиясөзін, RADIUS тіркелгісін немесе токен жауабын қабылдауы мүмкін. XAuth сөзі алмасудың тасымалын атайды, тіркелгі түрін емес.
Шлюз профилі қай backend-ке сілтейтінін тексеріңіз. Бұл пайдаланушыдан не сұралатынын және құпиясөзді қалпына келтіру шын мәнінде нені өзгертетінін айтады, ал екеуі де клиент профилінде көрінбейді.
OTP: backend нені талап етсе
Кейбір орналастырулар құпиясөзден кейін бөлек бір реттік код сұрайды, басқалары құжатталған бөлгіші бар біріктірілген енгізу пішімін айқындайды. Екеуі де бар және алдыңыздағы профиль қайсысы екенін шешеді. Басқа жерде жұмыс істегендіктен біріктіру тәсілін ойлап табу — тіркеу токенін жағудың ең көп тараған жолы. Мұны тек шлюздің өз құжаттамасы шешеді.
Құжатталған пішімді шлюз ұсынатын алмасуды аяқтай алатын клиентпен пайдаланыңыз.
Клиент шекарасы қай жерде тістеп алады
Fortinet FortiClient 7.4.4 және одан кейінгі нұсқалар IPsec VPN үшін IKEv1-ді енді қолдамайтынын хабарлайды, бұл FortiClient үйлесімділік жазбасы тіркегендей жаһандық жою емес, өнім мен нұсқа шекарасы. Басқа клиенттер де бірін-бірі алмастырмайды: OpenConnect және openfortivpn нақты шлюз протоколдарын сөйлейді, кез келген IKEv1 профильдерін емес. Орнатылған клиенттің IKE нұсқасын, PSK режимін, XAuth қолдауын және өзара әрекеттесу моделін бөлек тексеріңіз. Басқа әдіспен қосылатын клиент бастапқы талапты дәлелдеген жоқ.
IKEv1 ескірген, сондықтан қолдау көрсетілмейтін ескі клиентке құрылған жаңа енгізу қысқа мерзімді шешім. Шлюз иесінен қолдау көрсетілетін көшу жолын сұраңыз, соның ішінде екінші фактордың онда қалай өңделетінін де.
Факторды өшірмей диагностикалау
Журналда кезеңдерді бөліңіз: теңдестер келіссөзі, пайдаланушы алмасуы, екінші фактор нәтижесі, содан кейін мекенжай мен маршрутты тағайындау. Кодты әр өрісте сынаудың орнына компонент пен кезеңді жазып қойыңыз. Тест өтуі үшін факторды өшіру орналастыру туралы ештеңе дәлелдемейтін туннель береді.
Тіркеу құпияларын және ортақ кілтті ұйым процесіне сәйкес қорғалған қоймада ұстаңыз. Тұрақты файлдағы бір реттік код — фактор болуды тоқтатқан фактор.