IKEv1 со XAuth и OTP: што бара секој поттик
Групниот PSK, корисничката размена XAuth и предизвикот OTP се три различни влеза. Поврзете го секој поттик со неговиот сопственик пред да инсталирате друг клиент.
IKEv1 со PSK, XAuth и OTP не бара една сложена лозинка. Тој наредува слоеви на заеднички клуч меѓу врсниците, корисничка размена и втор фактор чиј начин на барање го одредува backend-от. Секој слој има свој сопственик и своја порака за грешка. Нивното мешање ги тера луѓето повторно да внесат еднократен код во поле што чува групна тајна.
Поврзете го секој поттик со слојот што го бара пред да инсталирате друг клиент или да ги ресетирате акредитивите.
Три тајни, три сопственици
Заедничкиот однапред споделен клуч и припаѓа на врската меѓу врсниците и се конфигурира еднаш од оној што управува со двата краја. Корисничките акредитиви и припаѓаат на backend-от за автентикација и се проверуваат при секое најавување. Вториот фактор и припаѓа на токен-систем чиј одговор се менува при секој обид. Ниту еден не го заменува другиот, а поставеност што ги третира како една лозинка откажува на слојот што никој не го документирал.
Запишете три колони: сопственик, рок на траење и пораката за грешка што ја создава секој од нив. Алатката за дијагностика е таа табела, а не имињата на полињата во клиентот.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: на врсникот, не на личноста
Во оваа стара поставеност, однапред споделениот клуч сѐ уште го автентицира парот порти, па најавувањето на корисникот никогаш не го заменува. Тоа е и вредноста што најчесто е погрешна на начин што дава општа грешка при преговори наместо поттик. Кога тунелот откажува пред да се појави било каков кориснички поттик, осомничени се клучот или предлозите.
Корисничките акредитиви не можат да го поправат откажувањето на првата фаза. Нивното ротирање ги троши единствените акредитиви што можете безбедно да ги ротирате и ја зајакнува погрешната теорија.
XAuth: старата корисничка размена
XAuth додава размена за автентикација на корисникот над автентикацијата на врсникот во IKEv1, а портата одлучува кој backend ја проверува. Во зависност од тој backend, размената може да прифати лозинка од директориум, RADIUS акредитиви или одговор од токен. Зборот XAuth го именува транспортот на размената, не типот на акредитиви.
Проверете кон кој backend покажува профилот на портата. Тоа кажува што ќе биде побарано од корисникот и што навистина менува ресетирањето на лозинката, а ниту едното ниту другото не се гледа во профилот на клиентот.
OTP: што и да побара backend-от
Некои поставености бараат посебен еднократен код по лозинката, а други дефинираат комбиниран формат на внесување со документиран разделувач. Постојат и двете, а профилот пред вас одлучува која. Измислување спојување затоа што работело на друго место е најчестиот начин да се изгори регистрациски токен. Само документацијата на самата порта го решава тоа.
Користете го документираниот формат со клиент што може да ја заврши размената што ја нуди портата.
Каде гризе границата на клиентот
Fortinet наведува дека FortiClient 7.4.4 и поновите повеќе не поддржуваат IKEv1 за IPsec VPN, што е граница на производ и верзија, а не универзално отстранување, како што забележува белешката за компатибилност на FortiClient. Ниту другите клиенти не се заменливи: OpenConnect и openfortivpn зборуваат конкретни протоколи на порта, а не произволни IKEv1 профили. Проверете поединечно верзијата на IKE, режимот PSK, поддршката за XAuth и моделот на интеракција на инсталираниот клиент. Клиент што се поврзува на друг начин не го докажал првобитното барање.
IKEv1 е застарен, па ново воведување изградено на неподдржан стар клиент е краткотрајно решение. Побарајте од сопственикот на портата поддржана патека за миграција, вклучително како таму ќе се обработува вториот фактор.
Дијагностика без исклучување на факторот
Одвојте ги фазите во дневникот: преговори меѓу врсниците, корисничката размена, резултатот од вториот фактор, потоа доделувањето адреса и рута. Запишете ја компонентата и фазата наместо да го пробувате кодот во секое поле. Исклучувањето на факторот за да помине тест создава тунел што ништо не докажува за поставеноста.
Чувајте ги регистрациските тајни и заедничкиот клуч во заштитено складиште според процесот на организацијата. Еднократниот код во трајна датотека е фактор што престанал да биде фактор.