IKEv1 mat XAuth an OTP: wat all Ufruff freet
Eng Grupp-PSK, en XAuth-Austausch vum Benotzer an eng OTP-Herausfuerderung sinn dräi verschidde Input. Verknëppt all Ufruff mat sengem Besëtzer, ier Dir en anere Client installéiert.
IKEv1 mat PSK, XAuth an OTP freet net ee komplizéierte Passwuert. Et stackt en gedeelte Schlëssel tëscht Peers, en Benotzer-Austausch an en zweete Faktor, deem seng Ufro de Backend entscheet. All Schicht huet hire Besëtzer an hir eege Feelermeldung. Se verwiesselen hëlleft de Leit en Eenmol-Code an en Feld ze tippen, deen e Gruppgeheimnis späichert.
Verknëppt all Ufruff mat der Schicht, déi en freet, ier Dir en anere Client installéiert oder en Definitiounsdaten zrécksetzt.
Dräi Geheimnisser, dräi Besëtzer
De gedeelte Schlëssel gehéiert zur Relatioun tëscht de Peers a gëtt eng Kéier vun deem konfiguréiert, deen déi zwou Enner verwalt. D'Benotzerdefinitioun gehéiert zum Authentifikatiouns-Backend a gëtt bei all Umeldung gepréift. Den zweete Faktor gehéiert zu engem Tokensystem, deem seng Äntwert sech bei all Versuch ännert. Keen ersetzt en aneren, an eng Installatioun, déi se als ee Passwuert behandelt, feelt op der Schicht, déi keen dokumentéiert huet.
Schreift dräi Sailen op: Besëtzer, Liewensdauer an d'Feelermeldung, déi jidderee produzéiert. Dës Tabell ass d'Diagnoseinstrument, net d'Feldnimm am Client.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: vum Peer, net vun der Persoun
An dëser ale Konfiguratioun authentifizéiert de gedeelte Schlëssel d'Gateway-Paar, also ersetzt d'Umeldung vum Benotzer hien ni. Et ass och de Wäert, deen am dackste falsch ass op eng Manéier, déi e generelle Verhandlungsfehler amplaz en Ufruff gëtt. Wann den Tunnel feelt, ier en Ufruff vum Benotzer erschéngt, sinn de Schlëssel oder d'Proposen verdächteg.
Eng Benotzerdefinitioun kann en Ausfall vun der éischter Phas net reparéieren. Se ze rotéieren verschwënnt déi eenzeg Definitioun, déi Dir sécher rotéiere kënnt, a verstäerkt déi falsch Theorie.
XAuth: den ale Benotzer-Austausch
XAuth setzt en Austausch vun der Benotzerauthentifikatioun iwwer d'Peer-Authentifikatioun vun IKEv1, an de Gateway entscheet, welke Backend en validéiert. Ofhängeg vun deem Backend kann den Austausch en Verzeechnes-Passwuert, eng RADIUS-Definitioun oder eng Token-Äntwert akzeptéieren. D'Wuert XAuth bezeechent den Transport vum Austausch, net den Typ vun der Definitioun.
Kuckt, op wéi en Backend de Gateway-Profil weist. Dat seet, wat de Benotzer gefrot gëtt a wat e Passwuert-Reset tatsächlech ännert, an näischt dovun ass an engem Client-Profil ze gesinn.
OTP: wat den Backend och freet
Verschidde Installatiounen froen no engem separaten Eenmol-Code nom Passwuert, an anerer definéieren en kombinéierten Input-Format mat engem dokumentéierte Separator. Béides gëtt et, an de Profil virun Iech entscheet, wat et ass. Eng Verknëppung erauszefannen, well se op enger anerer Plaz fonctionéiert huet, ass deen heefegste Wee fir en Inschreiwungs-Token ze verbrennen. Nëmmen d'Dokumentatioun vum Gateway selwer entscheet dat.
Benotzt dat dokumentéiert Format mat engem Client, deen den Austausch, deen de Gateway ubitt, kann ofschléissen.
Wou d'Grenz vum Client bäisst
Fortinet dokumentéiert, datt FortiClient 7.4.4 an duerno IKEv1 fir IPsec-VPNen net méi ënnerstëtzen, wat eng Produkt- a Versiounsgrenz ass an net eng universell Ewechhuelen, wéi d'Kompatibilitéitsnotiz vu FortiClient festhält. Aner Cliente sinn och net austauschbar: OpenConnect an openfortivpn schwätzen bestëmmte Gateway-Protokoller, net belibeg IKEv1-Profiler. Préift d'IKE-Versioun, de PSK-Modus, d'XAuth-Ënnerstëtzung an de Interaktiounsmodell vum installéierte Client eenzel. En Client, deen sech op eng aner Manéier verbënnt, huet déi ursprénglech Ufuerderung net bewisen.
IKEv1 ass veroudert, also ass eng nei Aféierung op engem net ënnerstëtzten ale Client eng kuerzlieweg Léisung. Frot de Gateway-Besëtzer no engem ënnerstëtzten Migratiounswee, dorënner wéi den zweete Faktor do behandelt gëtt.
Diagnostizéieren, ouni de Faktor auszeschalten
Trennt d'Etappen am Log: Peer-Verhandlung, den Benotzer-Austausch, d'Resultat vum zweete Faktor, duerno Adress- an Route-Zoudeelung. Notéiert d'Komponent an d'Etapp, amplaz de Code an all Feld ze probéieren. De Faktor ausschalten, fir datt en Test duerchkënnt, gëtt en Tunnel, deen näischt iwwer d'Installatioun beweist.
Hält d'Inschreiwungsgeheimnisser an de gedeelte Schlëssel an engem geschützte Späicher no dem Prozess vun der Organisatioun. En Eenmol-Code an enger permanente Datei ass e Faktor, deen opgehalen huet ee ze sinn.