vpnc grupas noslēpums vai jūsu pieteikšanās: kura lauka kas?
vpnc profils pieprasa grupas ID, grupas noslēpumu un XAuth pieteikšanos, un cilvēki ievada konta paroli nepareizajā laukā. Piešķiriet katru lauku tā lomai.
Pirmajā reizē, kad kāds jums iedod vpnc profilu, akreditācijas datu dialogs jautā četras lietas un lasās tā, it kā gribētu vienu paroli. Negrib: grupas iepriekš koplietotais noslēpums un individuālā XAuth pieteikšanās ir atsevišķas vērtības ar atsevišķiem īpašniekiem, un konta paroles ievietošana grupas laukā rada kļūdu, kas izskatās pēc sliktas paroles, nevis pēc nepareiza lauka. Šīs atbilstības pareiza izveide ir viss darbs šeit. Apakšā esošais protokols ir kāda cita migrācijas projekts, tāpēc nekas no tā nav arguments jaunu IKEv1 tuneļu būvēšanai.
Divi noslēpumi, divi īpašnieki, viens dialogs
Grupas noslēpums pieder vārtejas profilam. Visi, kas pieslēdzas caur šo profilu, izmanto to pašu vērtību, un tieši tāpēc tas nevar identificēt personu un to nevar atsaukt no viena portatīvā datora, nemainot to visiem pārējiem profila lietotājiem. XAuth lietotājvārds un parole savukārt pieder cilvēkam, un vārteja tos novērtē otrajā posmā, kad IPsec saistība jau ir izveidota.
Cilvēki palaiž garām tieši šo divposmu formu. Tuneļa izveide un lietotāja autentifikācija ir atšķirīgas apmaiņas ar atšķirīgām ievadēm, tāpēc klientam, kas nekad nenonāk līdz akreditācijas datu pieprasījumam, pieteikšanās nemaz nav neizdevusies. Lasiet dialogu kā divas kolonnas, nevis vienu: profila līmeņa vērtības kreisajā pusē, personīgās vērtības labajā pusē. Kad savienojums neizdodas, pēdējā aizpildītā kolonna nav automātiski vainīgā.
Piešķiriet laukus pēc lomas, nevis pēc apzīmējuma
vpnc savas direktīvas nosauc projekta dokumentācijā, un katra grafiskā saskarne tās pārdēvē. Iztulkojiet katras vērtības lomu, un apzīmējumi vairs nav svarīgi:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Saskarne, kas blakus grupas laukam rāda «Lietotājvārdu» un «Paroli», nav nepareiza — tās ir tās pašas trīs vērtības citos nosaukumos. Salūzt tas, kad lauks tiek aizpildīts tāpēc, ka vērtība tajā iekļaujas. Grupas noslēpums, kas ielīmēts kā lietotāja parole, autentificē profilu un pēc tam neizdodas lietotāja posmā; konta parole, kas ielīmēta kā grupas noslēpums, neizdodas ātrāk, pirms jebkura pieprasījuma, un sūta cilvēkus meklēt ugunsmūros problēmu, kas dzīvo teksta laukā.
Kas grupas identifikators nav
Vārds grupa aicina uz nepareizu lasījumu. Grupas identifikators šeit ir atlasītājs, kas vārtējai pasaka, kuru profila konfigurāciju piemērot; tas neko nesaka par dalību direktorijā, un abās pusēs sakrītošs nosaukums ir nejaušība, līdz operators to apstiprina. Autorizācija notiek pēc veiksmīgas XAuth, to nosaka tas, ar ko vārtēja ir konfigurēta konsultēties, un nekas no tā nav redzams klienta dialogā.
Tas pats piesardzība attiecas uz grupas noslēpumu. To zināt nav identitāte, un viena noslēpuma laišana komandā ir operatīvs lēmums ar sekām, ko klients jums nevar parādīt.
Atrisiniet neviennozīmīgo norādi pirms pievienošanās
Vecajās nodošanas piezīmēs bieži ir rinda, piemēram, «izmantojiet īpašo publisko IP». Šī frāze var nozīmēt adresi, no kuras atļauju saraksts otrā pusē gaida jūsu datu plūsmas ierašanos, tas ir operatora tīkla izejas īpašums, un tam nav nekāda sakara ar galapunktu, ko ierakstāt vārtējas laukā. Pajautājiet, kura no abām ir domāta, pirms vērtība kaut kur aiziet. Aizpildīta otrādi, tā sūta katru paketi uz adresi, kas nekad neatbild, un no tā izrietošais taimauts lasās kā bloķēta ports.
Palūdziet četras lietas organizācijas verificētajā kanālā: kurš klients un protokols tiek atbalstīts, kuru galapunktu izmantot, kādu identitāti uzrādīs vārtēja un kā tiek nodoti akreditācijas dati. Turiet īstos noslēpumus ārpus ekrānuzņēmumiem, biļetēm un koplietotām problēmu risināšanas piezīmēm. Neizslēdziet sertifikātu pārbaudes un neielīmējiet vecu šifru sarakstu, lai citādi konfigurēts pakalpojums izskatītos saderīgs, jo savienojums, kas darbojas tikai vājinot pārbaudi, nav tas savienojums, ko jums lūdza izveidot.
Turiet mantoto profilu godīgu
IKEv1 ir novecojis, un RFC 9395 ir dokuments, uz kuru atsaukties, kad rodas migrācijas jautājums. Veiksmīga lauku piešķiršana nav pierādījums, ka protokols pieder jaunam dizainam; tā nopērk strādājošu savienojumu, kamēr aizstāšana tiek plānota, kā arī rakstisku tvērumu un šīs migrācijas īpašnieku.
Pēc tam pārbaudiet pret prasību, nevis pret dialogu. Pēc pievienošanās pārliecinieties, ka tuneļa saskarnei ir gaidītā adrese un ka iekšējais galamērķis tiek maršrutēts caur to; ja sākotnējā prasībā bija nosaukta izejas adrese atļauju sarakstam, apstipriniet arī šo adresi, jo tas ir cits fakts nekā tas, ka tunelis ir pacelts. Profils, kas pareizi autentificējas un neko nemaršrutē, tomēr nav izpildījis uzdevumu, kuram tas tika izveidots.