IKEv1 su XAuth ir OTP: ko prašo kiekvienas raginimas
Grupės PSK, naudotojo XAuth mainai ir OTP iššūkis yra trys skirtingos įvestys. Priskirkite kiekvieną raginimą jo savininkui prieš diegdami dar vieną klientą.
IKEv1 su PSK, XAuth ir OTP neprašo vieno sudėtingo slaptažodžio. Jis sudeda bendrą raktą tarp peerų, naudotojo mainus ir antrąjį veiksnį, kurio prašymo būdą nustato backend. Kiekvienas sluoksnis turi savo savininką ir savo klaidos pranešimą. Jų sumaišymas verčia žmones iš naujo įvesti vienkartinį kodą į lauką, kuriame saugoma grupės paslaptis.
Priskirkite kiekvieną raginimą tam sluoksniui, kuris jo prašo, prieš diegdami kitą klientą arba atkurdami prisijungimo duomenis.
Trys paslaptys, trys savininkai
Bendras raktas priklauso peerų santykiui ir sukonfigūruojamas vieną kartą to, kuris valdo abu galus. Naudotojo prisijungimo duomenys priklauso autentifikavimo backendui ir tikrinami kiekvieno prisijungimo metu. Antrasis veiksnys priklauso tokenų sistemai, kurios atsakymas keičiasi kiekvieno bandymo metu. Nė vienas nepakeičia kito, o diegimas, kuris juos laiko vienu slaptažodžiu, sugenda tame sluoksnyje, kurio niekas nedokumentavo.
Užsirašykite tris stulpelius: savininką, galiojimo laiką ir klaidos pranešimą, kurį kiekvienas sukuria. Diagnostikos įrankis yra ta lentelė, o ne laukų pavadinimai kliente.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: peero, ne asmens
Šioje senoje schemoje bendras raktas autentifikuoja tinklų vartų porą, todėl naudotojo prisijungimas jo niekada nepakeičia. Tai ir vertė, kuri dažniausiai būna neteisinga taip, kad gaunama bendra derybų klaida vietoj raginimo. Kai tunelis sugenda prieš pasirodant bet kokiam naudotojo raginimui, įtariamieji yra raktas arba pasiūlymai.
Naudotojo prisijungimo duomenys negali ištaisyti pirmosios fazės gedimo. Jų keitimas iššvaisto vienintelius duomenis, kuriuos galite saugiai pakeisti, ir sustiprina neteisingą teoriją.
XAuth: senieji naudotojo mainai
XAuth prideda naudotojo autentifikavimo mainus virš IKEv1 peero autentifikavimo, o vartai nusprendžia, kuris backend juos tikrina. Priklausomai nuo to backendo, mainai gali priimti katalogo slaptažodį, RADIUS duomenis arba tokeno atsakymą. Žodis XAuth įvardija mainų transportą, o ne prisijungimo duomenų tipą.
Patikrinkite, į kurį backend nukreiptas vartų profilis. Tai pasako, ko bus prašoma naudotojo ir ką iš tikrųjų pakeičia slaptažodžio atkūrimas, o nė vieno to nesimato kliento profilyje.
OTP: ko tik paprašo backend
Kai kurie diegimai prašo atskiro vienkartinio kodo po slaptažodžio, kiti apibrėžia sujungtą įvesties formatą su dokumentuotu skyrikliu. Abu egzistuoja, o profilis priešais jus nusprendžia kuris. Sujungimo išradinėjimas todėl, kad jis veikė kitoje vietoje, yra dažniausias būdas sudeginti registracijos tokeną. Tai sprendžia tik paties vartų dokumentacija.
Naudokite dokumentuotą formatą su klientu, kuris gali užbaigti vartų siūlomus mainus.
Kur įkanda kliento riba
Fortinet dokumentuoja, kad FortiClient 7.4.4 ir vėlesnės versijos neberemia IKEv1 IPsec VPN tinklams, o tai yra produkto ir versijos riba, o ne visuotinis pašalinimas, kaip užfiksuoja FortiClient suderinamumo pastaba. Kiti klientai taip pat nepakeičiami: OpenConnect ir openfortivpn kalba konkrečiais vartų protokolais, o ne bet kokiais IKEv1 profiliais. Patikrinkite atskirai įdiegto kliento IKE versiją, PSK režimą, XAuth palaikymą ir sąveikos modelį. Klientas, kuris prisijungia kitu būdu, neįrodė pradinio reikalavimo.
IKEv1 pasenęs, todėl naujas diegimas sename nepalaikomame kliente yra trumpalaikis sprendimas. Paprašykite vartų savininko palaikomo migracijos kelio, įskaitant tai, kaip ten bus tvarkomas antrasis veiksnys.
Diagnostika neišjungiant veiksnio
Atskirkite žurnale etapus: peerų derybas, naudotojo mainus, antrojo veiksnio rezultatą, tada adreso ir maršruto priskyrimą. Užrašykite komponentą ir etapą, o ne bandykite kodą kiekviename lauke. Veiksnio išjungimas, kad testas praeitų, sukuria tunelį, kuris nieko neįrodo apie diegimą.
Laikykite registracijos paslaptis ir bendrą raktą apsaugotoje saugykloje pagal organizacijos procesą. Vienkartinis kodas nuolatiniame faile yra veiksnys, kuris nustojo būti veiksniu.