vpnc-Gruppengeheimnis oder däin Login: wéi ee Feld hëlt wat?
E vpnc-Profil freet no enger Gruppen-ID, engem Gruppengeheimnis an engem XAuth-Login, an d'Leit setzen d'Kontopasswuert an dat falscht Feld. Kartéier all Feld no senger Roll.
Déi éischt Kéier, wann een dir e vpnc-Profil gëtt, freet den Dialog vun den Authentifikatiounsdonnéeën véier Saachen a liest sech, wéi wann en ee Passwuert wëll. Wëll en net: e virun ausgedeelt Gruppengeheimnis an en individuellen XAuth-Login sinn getrennt Wäerter mat getrennten Eegentümer, an d'Kontopasswuert an d'Gruppefeld ze setzen ergëtt en Defer, dee wéi e schlecht Passwuert ausgesäit an net wéi en falscht Feld. Dës Kartéierung richteg ze maachen ass déi ganz Aufgab hei. De Protokoll drënner ass héchstens eng Migratioun vun engem aneren, an dofir ass näischt dovun en Argument, nei IKEv1-Tunnelen ze bauen.
Zwou Geheimnisser, zwee Eegentümer, een Dialog
E Gruppengeheimnis gehéiert zum Gateway-Profil. Jiddereen, dee sech iwwer dat Profil verbënnt, benotzt dee selwechte Wäert, an dofir kann et keng Persoun identifizéieren an et kann net vun engem Laptop zeréckgezunn ginn, ouni et fir all aner Benotzer vum Profil ze änneren. Den XAuth-Benotzernumm an d'Passwuert gehéieren dogéint dem Mënsch, an de Gateway bewäert se an enger zweeter Etapp, nodeems d'IPsec-Associatioun schonn steet.
Et ass dës zweestufeg Form, déi d'Leit iwwersinn. Den Tunnelopbau an d'Benotzerauthentifikatioun si verschidden Austausch mat verschiddenen Inputen, also en Client, dee ni bei d'Ufuerderung vun den Authentifikatiounsdonnéeën ukommt, ass iwwerhaapt net beim Login gescheitert. Liest den Dialog als zwou Sailen an net als eng: profilwäit Wäerter lénks, perséinlech Wäerter riets. Wann eng Verbindung feelt, ass déi Sail, déi s de lescht gefëllt hues, net automatesch déi schëlleg.
Kartéier d'Felder no der Roll, net no der Beschrëftung
vpnc nennt seng Direktiven an der Projetsdokumentatioun, an all grafesch Interface ännert se ëm. Iwwersetze d'Roll vun all Wäert, an d'Beschrëftunge spille keng Roll méi:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
En Interface, deen «Benotzernumm» an «Passwuert» nieft engem Gruppefeld weist, ass net falsch — et si déiselwecht dräi Wäerter ënner aneren Nimm. Et geet futti, wann e Feld gefëllt gëtt, well e Wäert eras passt. E Gruppengeheimnis, dat als Benotzerpasswuert agefüügt gëtt, authentifizéiert de Profil an deit dann an der Benotzeretapp; e Kontopasswuert, dat als Gruppengeheimnis agefüügt gëtt, feelt méi fréi, virun all Ufuerderung, an schéckt d'Leit an d'Firewallen, fir e Problem ze sichen, dat an engem Textfeld wunnt.
Wat eng Gruppenidentitéit net ass
D'Wuert Grupp invitéiert eng falsch Lektür. Eng Gruppenidentitéit hei ass e Selekter, deen dem Gateway seet, wéi eng Profilkonfiguratioun unzewenden; iwwer Verzeechnesmember ze soen seet se näischt, an en iwwerenee stëmmt Numm op béide Säiten ass en Zoufall, bis den Operateur en confirméiert. D'Autorisatioun geschitt nodeems XAuth gelungen ass, decidéiert vun deem, wat de Gateway konfiguréiert ass ze konsultéieren, an näischt dovun ass am Clientdialog ze gesinn.
Déiselwecht Vorsicht gëllt fir d'Gruppengeheimnis. Et ze wëssen ass keng Identitéit, an ee Geheimnis am Team ronderëm ze ginn ass eng operationell Entscheedung mat Konsequenzen, déi de Client dir net weise kann.
Kläer déi zweedeiteg Instruktioun, ier s de sech verbënns
Iwwerhuelungsnotizen aus dem Albestand enthalen dacks eng Zeil wéi «benotz déi dedizéiert ëffentlech IP». Dee Saz kann d'Adress mengen, vun där eng Allowlist op der anerer Säit erwaart, datt däin Traffic ukënnt — dat ass eng Ausgangseigenschaft vum Operateurnetz an huet näischt mam Endpunkt ze dinn, deen s de an d'Gatewayfeld tipps. Freet, wéi eng vun den zwou gemengt ass, ier de Wäert iergendwouhi geet. Verkéiert a gefüllt schéckt en all Paket un eng Adress, déi ni äntwert, an den Timeout, deen duerch entsteet, liest sech wéi en blockéierte Port.
Frot véier Saachen iwwer de verifizéierte Kanal vun der Organisatioun: wéi ee Client a wéi ee Protokoll ënnerstëtzt ginn, wéi en Endpunkt ze benotzen ass, wéi eng Identitéit de Gateway presentéiert a wéi d'Authentifikatiounsdonnéeën iwwerginn ginn. Halt richteg Geheimnisser aus Screenshots, Ticketen an gedeelte Fehlersichnotizen eraus. Deaktivéier keng Zertifikatsprüfungen a füüg keng al Chiffrelëscht an, fir en anescht konfiguréierte Service kompatibel ze maachen, well eng Verbindung, déi nëmmen duerch d'Schwäche vun der Prüfung funktionéiert, ass net d'Verbindung, déi s de bauen solls.
Halt den Alprofil éierlech
IKEv1 ass veroudert, an RFC 9395 ass den Dokument, deen een zitéiert, wann d'Migratiounsfro opkënnt. Eng gelungen Feldkartéierung ass kee Beweis, datt de Protokoll an en neit Design gehéiert; wat se kaaft, ass eng funktionéierend Verbindung, soulaang den Ersatz geplangt gëtt, plus e schrëftleche Kader an een Eegentümer fir déi Migratioun.
Dann iwwerpréif géint d'Ufuerderung an net géint den Dialog. No der Verbindung bestäteg, datt d'Tunnelschnittstell déi erwaart Adress huet an datt en internen Zil duerch se geroutt gëtt; wann d'Originalufuerderung eng Ausgangsadress fir eng Allowlist genannt huet, bestäteg déi Adress och, well dat eng aner Tatsaach ass wéi déi, datt den Tunnel steet. E Profil, deen sech richteg authentifizéiert an näischt routet, huet d'Aufgab, fir déi en erschaf ginn ass, awer nach ëmmer verfeelt.