vpnc тобының құпиясы немесе сіздің кіруіңіз: қай өріс нені алады?
vpnc профилі топ ID-ін, топ құпиясын және XAuth кіруін сұрайды, ал адамдар тіркелгі құпиясөзін дұрыс емес өріске салады. Әр өрісті оның рөліне қарай сәйкестендіріңіз.
Біреу сізге vpnc профилін алғаш рет бергенде, тіркелгі деректерінің диалогы төрт нәрсе сұрайды және бір ғана құпиясөз қалайтындай оқылады. Ондай емес: топтың алдын ала ортақ құпиясы мен жеке XAuth кіруі бөлек иелері бар бөлек мәндер, ал тіркелгі құпиясөзін топ өрісіне салу қате өріс емес, нашар құпиясөз сияқты көрінетін сәтсіздік береді. Бұл сәйкестікті дұрыс құру — осындағы бүкіл жұмыс. Астындағы протокол басқа біреудің көшіру жобасы, сондықтан мұның ешқайсысы жаңа IKEv1 туннельдерін салуға дәлел емес.
Екі құпия, екі ие, бір диалог
Топ құпиясы шлюз профиліне тиесілі. Сол профиль арқылы қосылатындардың барлығы бірдей мәнді пайдаланады, сондықтан ол адамды сәйкестендіре алмайды және профильдің барлық басқа пайдаланушылары үшін өзгертпейінше бір ноутбуктан қайтарып алынбайды. XAuth пайдаланушы аты мен құпиясөзі керісінше адамға тиесілі, ал шлюз оларды IPsec байланысы әлдеқашан орнағаннан кейін екінші кезеңде бағалайды.
Адамдар осы екі кезеңді пішінді назардан тыс қалдырады. Туннель құру мен пайдаланушыны аутентификациялау — кірістері әртүрлі әртүрлі алмасулар, сондықтан тіркелгі деректерін сұрауға ешқашан жетпейтін клиент кіруде мүлдем сәтсіздікке ұшыраған жоқ. Диалогты бір емес, екі баған ретінде оқыңыз: сол жақта профиль ауқымындағы мәндер, оң жақта жеке мәндер. Қосылым сәтсіз болғанда, соңғы толтырған бағаныңыз автоматты түрде кінәлі баған емес.
Өрістерді рөл бойынша сәйкестендіріңіз, белгі бойынша емес
vpnc өз директиваларын жоба құжаттамасында атайды, ал әрбір графикалық интерфейс оларды қайта атайды. Әр мәннің рөлін аударыңыз, сонда белгілердің маңызы қалмайды:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Топ өрісінің жанында «Пайдаланушы аты» мен «Құпиясөзді» көрсететін интерфейс дұрыс емес емес — бұл әртүрлі атаулармен берілген сол үш мән. Бұзылатыны — мән сыйып кететіндіктен өрісті толтыру. Пайдаланушы құпиясөзі ретінде қойылған топ құпиясы профильді аутентификациялайды, содан кейін пайдаланушы кезеңінде сәтсіз болады; топ құпиясы ретінде қойылған тіркелгі құпиясөзі ертерек, кез келген сұрауға дейін сәтсіз болады және адамдарды мәтіндік өрісте тұратын мәселені өрт қабырғаларынан іздеуге жібереді.
Топ идентификаторы не емес
Топ сөзі қате оқуға шақырады. Мұндағы топ идентификаторы — шлюзге қай профиль конфигурациясын қолдануды айтатын таңдаушы; ол каталог мүшелігі туралы ештеңе айтпайды, ал екі жақтағы сәйкес ат оператор оны растағанша кездейсоқтық. Авторизация XAuth сәтті болғаннан кейін болады, оны шлюз кеңесу үшін конфигурацияланған нәрсемен шешеді, және мұның ешқайсысы клиент диалогында көрінбейді.
Дәл осындай сақтық топ құпиясына да қатысты. Оны білу — сәйкестік емес, ал бір құпияны команда ішінде айналдыру — клиент көрсете алмайтын салдарлары бар операциялық шешім.
Қосылу алдында екіұшты нұсқаулықты шешіңіз
Ескі тапсыру жазбаларында «арнайы жария IP-ді пайдаланыңыз» сияқты жол жиі кездеседі. Бұл сөз тіркесі қарсы жақтағы рұқсаттар тізімі сіздің трафигіңіздің келуін күтетін мекенжайды білдіруі мүмкін, бұл оператор желісінің шығу қасиеті және шлюз өрісіне теретін соңғы нүктемен ешқандай байланысы жоқ. Мән қайда да бармас бұрын екеуінің қайсысы қажет екенін сұраңыз. Керісінше толтырылса, ол әр пакетті ешқашан жауап бермейтін мекенжайға жібереді, ал пайда болған күту уақыты бұғатталған порт сияқты оқылады.
Ұйымның расталған арнасы арқылы төрт нәрсе сұраңыз: қандай клиент пен протокол қолдау көрсетеді, қандай соңғы нүктені пайдалану керек, шлюз қандай сәйкестікті ұсынады және тіркелгі деректері қалай беріледі. Нақты құпияларды скриншоттардан, билеттерден және ортақ ақаулық жою жазбаларынан тыс ұстаңыз. Куәліктерді тексеруді өшірмеңіз және басқаша конфигурацияланған қызметті үйлесімді көрсету үшін ескі шифрлар тізімін қоспаңыз, себебі тексеруді әлсірету арқылы ғана жұмыс істейтін қосылым — сізден салу сұралған қосылым емес.
Мұрагер профильді адал ұстаңыз
IKEv1 ескірген, ал RFC 9395 — көшіру мәселесі туындағанда сілтеу керек құжат. Өрістерді сәтті сәйкестендіру протоколдың жаңа дизайнға жататынын дәлелдемейді; ол ауыстыру жоспарланғанша жұмыс істейтін қосылымды, қоса алғанда жазбаша ауқым мен сол көшіру үшін жауапты адамды алады.
Содан кейін диалогқа емес, талапқа қарсы тексеріңіз. Қосылғаннан кейін туннель интерфейсінде күтілетін мекенжай бар екенін және ішкі мақсаттың сол арқылы маршрутталатынын растаңыз; егер бастапқы талапта рұқсаттар тізімі үшін шығу мекенжайы аталса, сол мекенжайды да растаңыз, өйткені бұл туннельдің тұрғанынан өзге факт. Дұрыс аутентификацияланып, ештеңені маршруттамайтын профиль өзі жасалған тапсырманы әлі орындамаған.