vpnc тобунун сыры же сиздин кирүүңүз: кайсы талаа эмнени алат?
vpnc профили топ ID, топ сыры жана XAuth кирүүсүн сурайт, ал эми адамдар эсептик сырсөздү туура эмес талаага салышат. Ар бир талааны анын ролу боюнча дал келтириңиз.
Биреө сизге vpnc профилин биринчи жолу бергенде, ыйгарым укук диалогу төрт нерсени сурайт жана бир гана сырсөз каалагандай окулат. Андай эмес: топтун алдын ала бөлүшүлгөн сыры жана жеке XAuth кирүүсү өзүнчө ээлери бар өзүнчө баалуулуктар, ал эми эсептик сырсөздү топ талаасына салуу туура эмес талаа эмес, жаман сырсөз сыяктуу көрүнгөн ийгиликсиздик берет. Бул дал келтирүүнү туура куруу — ушул жердеги бүт иш. Астындагы протокол башка бирөөнүн миграция долбоору, ошондуктан булардын эч бири жаңы IKEv1 туннелдерин курууга негиз эмес.
Эки сыр, эки ээ, бир диалог
Топ сыры шлюз профилине таандык. Ошол профиль аркылуу туташкандардын баары бирдей баалуулукту колдонот, ошондуктан ал адамды аныктай албайт жана профилдин калган бардык колдонуучулары үчүн өзгөртпөстөн бир ноутбуктан кайтарып алынбайт. XAuth колдонуучу аты жана сырсөзү тескерисинче адамга таандык, ал эми шлюз аларды IPsec байланышы мурунтан орногондон кийин экинчи этапта баалайт.
Адамдар ушул эки этаптуу форманы көз жаздымында калтырышат. Туннелди куруу жана колдонуучуну аутентификациялоо кирүүлөрү ар башка ар башка алмашуулар, ошондуктан ыйгарым укук суроосуна эч качан жетпеген кардар кирүүдө такыр ийгиликсиз болгон эмес. Диалогду бир эмес, эки мамыча катары окуңуз: сол жакта профиль деңгээлиндеги баалуулуктар, оң жакта жеке баалуулуктар. Байланыш ийгиликсиз болгондо, акыркы толтурган мамычаңыз автоматтык түрдө күнөөлүү мамыча эмес.
Талааларды роль боюнча дал келтириңиз, белги боюнча эмес
vpnc өз директиваларын долбоордун документтеринде атайт, ал эми ар бир графикалык интерфейс аларды кайра атайт. Ар бир баалуулуктун ролун которуңуз, ошондо белгилердин мааниси калбайт:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Топ талаасынын жанында «Колдонуучу аты» жана «Сырсөз» көрсөткөн интерфейс туура эмес эмес — бул ар башка аттар менен берилген ошол эле үч баалуулук. Бузулган нерсе — баалуулук батып кеткендиктен талааны толтуруу. Колдонуучу сырсөзү катары коюлган топ сыры профилди аутентификациялайт, анан колдонуучу этабында ийгиликсиз болот; топ сыры катары коюлган эсептик сырсөз эртерек, ар кандай суроодон мурун ийгиликсиз болуп, адамдарды тексттик талаада жашаган маселени өрт дубалдарынан издөөгө жиберет.
Топ идентификатору эмне эмес
Топ сөзү туура эмес окууга чакырат. Бул жердеги топ идентификатору шлюзге кайсы профиль конфигурациясын колдонууну айта турган тандоочу; ал каталог мүчөлүгү жөнүндө эч нерсе айтпайт, ал эми эки тарапта дал келген ат оператор аны ырастаганга чейин кокустук. Авторизация XAuth ийгиликтүү болгондон кийин болот, аны шлюз кеңешүү үчүн конфигурацияланган нерсе чечет, жана мунун эч бири кардар диалогунда көрүнбөйт.
Ошол эле этияттык топ сырына да тиешелүү. Аны билүү — инсандык эмес, ал эми бир сырды команда ичинде айландыруу — кардар көрсөтө албаган кесепеттери бар операциялык чечим.
Туташуудан мурун эки маанилүү нускаманы чечиңиз
Эски өткөрүп берүү жазууларында «атайын коомдук IP колдонуңуз» сыяктуу сап көп кездешет. Бул сүйлөм каршы тараптагы уруксат тизмеси сиздин трафигиңиздин келишин күткөн даректи билдириши мүмкүн, бул оператор тармагынын чыгуу касиети жана шлюз талаасына терип жаткан акыркы чекит менен эч кандай байланышы жок. Баалуулук бир жакка кетээрден мурун экөөнүн кайсынысы көздөлүп жатканын сураңыз. Тескери толтурулса, ал ар бир пакетти эч качан жооп бербеген дарекке жиберет, ал эми пайда болгон күтүү убактысы бөгөттөлгөн порт сыяктуу окулат.
Уюмдун ырасталган каналы аркылуу төрт нерсени сураңыз: кайсы кардар жана протокол колдоого алынат, кайсы акыркы чекитти колдонуу керек, шлюз кайсы инсандыкты көрсөтөт жана ыйгарым укуктар кантип берилет. Чыныгы сырларды скриншоттордон, билеттерден жана жалпы көйгөйлөрдү чечүү жазууларынан тышкары кармаңыз. Сертификат текшерүүлөрүн өчүрбөңүз жана башкача конфигурацияланган кызматты шайкеш көрүнүү үчүн эски шифр тизмесин чаптабаңыз, анткени текшерүүнү алсыратуу менен гана иштеген байланыш — сизден куруу суралган байланыш эмес.
Мурас профилин ак ниет сактаңыз
IKEv1 эскирген, ал эми RFC 9395 — миграция маселеси көтөрүлгөндө шилтеме жасоо керек болгон документ. Талааларды ийгиликтүү дал келтирүү протоколдун жаңы долбоорго таандык экенин далилдебейт; ал алмаштыруу пландалганга чейин иштеген байланышты, кошумча жазуу түрүндөгү көлөмдү жана ошол миграция үчүн ээни сатып алат.
Анан диалогго эмес, талапка каршы текшериңиз. Туташкандан кийин туннел интерфейсинде күтүлгөн дарек бар экенин жана ички багыт ошонун аркылуу маршрутталарын ырастаңыз; эгер баштапкы талапта уруксат тизмеси үчүн чыгуу дареги аталса, ошол даректи да ырастаңыз, анткени бул туннелдин турганынан башка факт. Туура аутентификацияланып, эч нерсени маршруттабаган профиль өзү жаралган тапшырманы дагы эле аткарган жок.