vpnc grupės slaptažodis ar jūsų prisijungimas: kuris laukas ką priima?
vpnc profilis prašo grupės ID, grupės paslapties ir XAuth prisijungimo, o žmonės į neteisingą lauką įrašo paskyros slaptažodį. Kiekvieną lauką priskirkite pagal jo vaidmenį.
Kai kas nors pirmą kartą duoda jums vpnc profilį, prisijungimo duomenų dialogas klausia keturių dalykų ir skaitomas taip, lyg norėtų vieno slaptažodžio. Nori ne to: grupės iš anksto bendrinama paslaptis ir individualus XAuth prisijungimas yra atskiros reikšmės su atskirais savininkais, o paskyros slaptažodžio įrašymas į grupės lauką duoda klaidą, kuri atrodo kaip blogas slaptažodis, o ne kaip neteisingas laukas. Teisingai sudėlioti šį atitikimą ir yra visas darbas čia. Po apačia esantis protokolas yra kito žmogaus migracijos projektas, todėl niekas iš to nėra argumentas statyti naujus IKEv1 tunelius.
Dvi paslaptys, du savininkai, vienas dialogas
Grupės paslaptis priklauso šliuzo profiliui. Visi, kurie jungiasi per tą profilį, naudoja tą pačią reikšmę, ir būtent todėl ji negali atpažinti žmogaus ir negali būti atšaukta iš vieno nešiojamojo kompiuterio nepakeitus jos visiems kitiems profilio naudotojams. XAuth naudotojo vardas ir slaptažodis priklauso žmogui, o šliuzas juos vertina antrajame etape, kai IPsec susiejimas jau nustatytas.
Būtent šios dviejų etapų formos žmonės nepastebi. Tunelio sukūrimas ir naudotojo autentifikavimas yra skirtingi mainai su skirtingomis įvestimis, todėl klientas, kuris niekada nepasiekia prisijungimo duomenų užklausos, visai nepatyrė prisijungimo nesėkmės. Skaitykite dialogą kaip du stulpelius, o ne vieną: profilio lygmens reikšmės kairėje, asmeninės reikšmės dešinėje. Kai ryšys nutrūksta, paskutinis užpildytas stulpelis automatiškai nėra kaltas.
Laukus priskirkite pagal vaidmenį, o ne pagal etiketę
vpnc savo direktyvas įvardija projekto dokumentacijoje, o kiekviena grafinė sąsaja jas pervadina. Išverskite kiekvienos reikšmės vaidmenį, ir etiketės nebetenka reikšmės:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Sąsaja, kuri šalia grupės lauko rodo „Naudotojo vardą“ ir „Slaptažodį“, nėra neteisinga — tai tos pačios trys reikšmės kitais pavadinimais. Sulūžta tada, kai laukas užpildomas todėl, kad reikšmė į jį telpa. Grupės paslaptis, įklijuota kaip naudotojo slaptažodis, autentifikuoja profilį ir tada nepavyksta naudotojo etape; paskyros slaptažodis, įklijuotas kaip grupės paslaptis, nepavyksta anksčiau, prieš bet kokią užklausą, ir nukreipia žmones ieškoti problemos ugniasienėse, nors ji gyvena teksto lauke.
Kas nėra grupės identifikatorius
Žodis grupė skatina neteisingą skaitymą. Grupės identifikatorius čia yra parinkiklis, kuris pasako šliuzui, kurią profilio konfigūraciją taikyti; jis nieko nesako apie katalogo narystę, o sutampantis vardas abiejose pusėse yra atsitiktinumas, kol operatorius jo nepatvirtins. Autorizacija vyksta po sėkmingo XAuth, ją lemia tai, ką šliuzas sukonfigūruotas konsultuotis, ir nieko iš to nesimato kliento dialoge.
Ta pati atsargumo priemonė galioja ir grupės paslapčiai. Ją žinoti nėra tapatybė, o vienos paslapties sukiojimas komandoje yra operacinis sprendimas su pasekmėmis, kurių klientas jums negali parodyti.
Išspręskite dviprasmišką nurodymą prieš jungdamiesi
Senuosiuose perdavimo užrašuose dažnai būna eilutė „naudokite skirtąjį viešą IP“. Ši frazė gali reikšti adresą, iš kurio leidimų sąrašas kitoje pusėje tikisi jūsų srauto atėjimo, tai operatoriaus tinklo išėjimo savybė ir neturi nieko bendra su galiniu tašku, kurį įrašote į šliuzo lauką. Paklauskite, kuris iš dviejų turimas omenyje, prieš reikšmei kur nors einant. Užpildyta atvirkščiai, ji siunčia kiekvieną paketą į adresą, kuris niekada neatsako, o atsiradusi laiko limita skaitoma kaip užblokuotas prievadas.
Paprašykite keturių dalykų per organizacijos patvirtintą kanalą: kuris klientas ir protokolas palaikomi, kurį galinį tašką naudoti, kokią tapatybę pateiks šliuzas ir kaip perduodami prisijungimo duomenys. Laikykite tikrąsias paslaptis už ekrano kopijų, bilietų ir bendrų gedimų sprendimo užrašų. Neišjunkite sertifikatų tikrinimo ir neįklijuokite seno šifrų sąrašo, kad kitaip sukonfigūruota paslauga atrodytų suderinama, nes ryšys, kuris veikia tik susilpninus tikrinimą, nėra tas ryšys, kurį jums liepė sukurti.
Laikykite paveldėtą profilį sąžiningą
IKEv1 yra pasenęs, o RFC 9395 yra dokumentas, į kurį reikia remtis, kai iškyla migracijos klausimas. Sėkmingas laukų priskyrimas nėra įrodymas, kad protokolas priklauso naujam dizainui; jis nusiperka veikiantį ryšį, kol pakeitimas suplanuotas, plius rašytinės apimtis ir tos migracijos savininkas.
Tada tikrinkite pagal reikalavimą, o ne pagal dialogą. Po prisijungimo patvirtinkite, kad tunelio sąsaja turi laukiamą adresą ir kad vidinis tikslas maršrutizuojamas per ją; jei pradiniame reikalavime buvo įvardytas išėjimo adresas leidimų sąrašui, patvirtinkite ir tą adresą, nes tai kitas faktas nei tai, kad tunelis veikia. Profilis, kuris teisingai autentifikuojasi ir nieko nemaršrutizuoja, vis tiek neįvykdė užduoties, kuriai buvo sukurtas.