Групна тајна на vpnc или вашата најава: кое поле што прима?

Кога некој првпат ќе ви даде профил vpnc, дијалогот за акредитиви прашува четири работи и се чита како да сака една лозинка. Не сака: групната однапред споделена тајна и индивидуалната XAuth најава се одделни вредности со одделни сопственици, а ставањето на лозинката на сметката во групното поле дава грешка што изгледа како лоша лозинка, а не како погрешно поле. Правилното распоредување е целата задача овде. Протоколот под него е туѓ проект за миграција, затоа ништо од ова не е аргумент за градење нови IKEv1 тунели.

Две тајни, два сопственици, еден дијалог

Групната тајна му припаѓа на профилот на портата. Сите што се поврзуваат преку тој профил ја користат истата вредност, и токму затоа таа не може да идентификува личност и не може да се повлече од еден преносен сметач без да се смени за сите други корисници на профилот. XAuth корисничкото име и лозинката ѝ припаѓаат на личноста, а портата ги оценува во втора фаза, откако IPsec асоцијацијата веќе е воспоставена.

Луѓето ја пропуштаат токму оваа двофазна форма. Воспоставувањето на тунелот и автентикацијата на корисникот се различни размени со различни влезови, па клиент што никогаш не стигнува до барањето за акредитиви воопшто не потфрлил при најавата. Читајте го дијалогот како две колони, а не една: вредности на ниво на профил лево, лични вредности десно. Кога врската ќе падне, колоната што последна ја пополнивте не е автоматски виновната.

Распоредете ги полињата според улога, не според ознака

vpnc ги именува своите директиви во проектната документација, и секој графички интерфејс ги преименува. Преведете ја улогата на секоја вредност и ознаките престануваат да бидат важни:

Интерфејс што покрај групно поле покажува „Корисничко име“ и „Лозинка“ не е погрешен — тоа се истите три вредности под различни имиња. Она што се крши е пополнување на поле затоа што вредноста се вклопува во него. Групна тајна залепена како корисничка лозинка го автентицира профилот и потоа потфрлува во фазата на корисник; лозинка на сметка залепена како групна тајна потфрлува порано, пред секое барање, и ги праќа луѓето да го бараат проблемот во огнени ѕидови, иако тој живее во текстуално поле.

Што не е групен идентификатор

Зборот група наведува на погрешно читање. Групниот идентификатор овде е избирач што ѝ кажува на портата која конфигурација на профил да ја примени; тој не кажува ништо за членство во директориум, а совпаѓачко име од двете страни е случајност се додека операторот не го потврди. Авторизацијата се случува по успешен XAuth, ја одлучува тоа со што портата е конфигурирана да консултира, и ништо од тоа не е видливо во дијалогот на клиентот.

Истото внимание важи и за групната тајна. Да се знае не е идентитет, а кружењето една тајна низ тим е оперативна одлука со последици што клиентот не може да ви ги покаже.

Разрешете ја двосмислената инструкција пред поврзување

Старите белешки за предавање често содржат ред како „користете ја наменската јавна IP“. Таа фраза може да значи адресата од која списокот за дозвола на другата страна очекува да пристигне вашиот сообраќај, тоа е излезна особина на мрежата на операторот и нема никаква врска со крајната точка што ја пишувате во полето на портата. Прашајте која од двете се мисли пред вредноста да оди некаде. Пополнета обратно, таа го праќа секој пакет на адреса што никогаш не одговара, а добиеното истекување на времето се чита како блокиран порт.

Побарајте четири работи преку верификуваниот канал на организацијата: кој клиент и протокол се поддржани, која крајна точка да се користи, каков идентитет ќе претстави портата и како се предаваат акредитивите. Држете ги вистинските тајни надвор од снимки од екран, тикети и споделени белешки за решавање проблеми. Не ги исклучувајте проверките на сертификати и не залепувајте стар список на шифри за да изгледа компатибилна услуга што е конфигурирана поинаку, зашто врска што работи само со ослабена проверка не е врската што ви била побарана да ја изградите.

Чувајте го наследениот профил чесен

IKEv1 е застарен, а RFC 9395 е документот што треба да се цитира кога ќе се појави прашањето за миграција. Успешното распоредување полиња не е доказ дека протоколот припаѓа на нов дизајн; тоа купува работна врска додека замената се планира, плус пишан опфат и сопственик за таа миграција.

Потоа проверете наспроти барањето, а не наспроти дијалогот. По поврзувањето потврдете дека интерфејсот на тунелот ја има очекуваната адреса и дека внатрешна дестинација се насочува низ него; ако првобитното барање именувало излезна адреса за список за дозвола, потврдете ја и таа адреса, бидејќи тоа е различен факт од тоа што тунелот е активен. Профил што правилно се автентицира и не насочува ништо сепак ја потфрлил задачата за која е создаден.