IKEv1 XAuth жана OTP менен: ар бир суроо эмнени талап кылат
Топтук PSK, колдонуучунун XAuth алмашуусу жана OTP сынагы үч башка киргизүү. Башка кардарды орнотуудан мурун ар бир суроону анын ээсине дал келтириңиз.
PSK, XAuth жана OTP менен IKEv1 бир татаал сырсөздү талап кылбайт. Ал теңдештердин ортосундагы жалпы ачкычты, колдонуучунун алмашуусун жана backend кантип суроону чечкен экинчи факторду катмарлап коёт. Ар бир катмардын өз ээси жана өз ката билдирүүсү бар. Аларды аралаштыруу адамдарды топтук сырды сактаган талаага бир жолу колдонулуучу кодду кайра терууге мажбурлайт.
Башка кардарды орнотуудан же каттоо маалыматын калыбына келтирүүдөн мурун ар бир суроону аны талап кылган катмарга дал келтириңиз.
Үч сыр, үч ээ
Алдын ала бөлүшүлгөн ачкыч теңдештердин мамилесине таандык жана аны эки учун тең башкарган адам бир жолу жөндөйт. Колдонуучунун каттоо маалыматы аутентификация backendине таандык жана ар бир кирүүдө текшерилет. Экинчи фактор ар бир аракетте жообу өзгөргөн токен системасына таандык. Экөө бири-бирин алмаштырбайт, ал эми үчөөнү бир сырсөз деп эсептеген жайгаштыруу эч ким документтештирбеген катмарда ишке ашпайт.
Үч мамыча жазыңыз: ээси, колдонулуу мөөнөтү жана ар бири чыгарган ката билдирүүсү. Диагностика куралы — ошол таблица, кардардагы талаа аттары эмес.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: адамдын эмес, теңдештин
Бул эски жайгаштырууда алдын ала бөлүшүлгөн ачкыч шлюз жупун аутентификациялайт, ошондуктан колдонуучунун кирүүсү аны эч качан алмаштырбайт. Ал ошондой эле суроонун ордуна жалпы сүйлөшүү катасын чыгарган түрдө көбүрөөк ката кетүүчү маани. Туннель колдонуучунун суроосу пайда болоордон мурун иштен чыкса, шектүүлөр — ачкыч же сунуштар.
Колдонуучунун каттоо маалыматы биринчи фазанын бузулушун оңдой албайт. Аны айландыруу коопсуз айландырууга боло турган жалгыз каттоо маалыматын коротуп, туура эмес теорияны бекемдейт.
XAuth: эски колдонуучу алмашуусу
XAuth IKEv1 теңдеш аутентификациясынын үстүнө колдонуучу аутентификациясынын алмашуусун кошот жана кайсы backend аны текшерерин шлюз чечет. Ошол backendке жараша алмашуу каталог сырсөзүн, RADIUS каттоо маалыматын же токен жообун кабыл алышы мүмкүн. XAuth сөзү алмашуунун ташымалын атайт, каттоо маалыматынын түрүн эмес.
Шлюз профили кайсы backendке шилтеме кыларын текшериңиз. Бул колдонуучудан эмне сураларын жана сырсөздү калыбына келтирүү чындыгында эмнени өзгөртөрүн айтат, экөө тең кардар профилинде көрүнбөйт.
OTP: backend эмнени талап кылса
Айрым жайгаштыруулар сырсөздөн кийин өзүнчө бир жолу колдонулуучу код сурашат, башкалары документтештирилген бөлгүчтүү бириктирилген киргизүү форматын аныкташат. Экөө тең бар жана алдыңыздагы профиль кайсынысы экенин чечет. Башка жерде иштегендиктен бириктирүү ыкмасын ойлоп табуу — каттоо токенин күйгүзүүнүн эң кеңири тараган жолу. Муну шлюздун өзүнүн документтери гана чечет.
Документтештирилген форматты шлюз сунуш кылган алмашууну бүтүрө алган кардар менен колдонуңуз.
Кардардын чеги кайда тиштеп алат
Fortinet FortiClient 7.4.4 жана андан кийинки версиялар IPsec VPN үчүн IKEv1ди эми колдобой турганын билдирет, бул FortiClient шайкештик эскертүүсү жазгандай дүйнөлүк алып салуу эмес, продукт жана версия чеги. Башка кардарлар да бири-бирин алмаштырбайт: OpenConnect жана openfortivpn конкреттүү шлюз протоколдорун сүйлөшөт, каалаган IKEv1 профилдерин эмес. Орнотулган кардардын IKE версиясын, PSK режимин, XAuth колдоосун жана өз ара аракеттенүү моделин өзүнчө текшериңиз. Башка ыкма менен туташкан кардар баштапкы талапты далилдеген жок.
IKEv1 эскирген, ошондуктан колдоого алынбаган эски кардарга курулган жаңы киргизүү кыска мөөнөттүү чечим. Шлюздун ээсинен колдоого алынган көчүү жолун сураңыз, анын ичинде экинчи фактор ал жерде кантип иштетилерин да.
Факторду өчүрбөстөн диагностикалоо
Журналда баскычтарды бөлүңүз: теңдештердин сүйлөшүүсү, колдонуучунун алмашуусу, экинчи фактордун жыйынтыгы, анан дарек жана маршрут дайындоо. Кодду ар бир талаада сынап көрүүнүн ордуна компонентти жана баскычты жазып коюңуз. Тест өтүшү үчүн факторду өчүрүү жайгаштыруу жөнүндө эч нерсени далилдебеген туннель берет.
Каттоо сырларын жана жалпы ачкычты уюмдун процессине ылайык корголгон сактагычта сактаңыз. Туруктуу файлдагы бир жолу колдонулуучу код — фактор болууну токтоткон фактор.