IKEv1, XAuth болон OTP-той: хүсэлт бүр юу шаардаж байна
Бүлгийн PSK, хэрэглэгчийн XAuth солилцоо, OTP сорилт нь гурван өөр оролт юм. Өөр клиент суулгахаасаа өмнө хүсэлт бүрийг эзэнтэй нь тааруулна уу.
PSK, XAuth, OTP-той IKEv1 нь нэг төвөгтэй нууц үг шаардаагүй. Энэ нь тэгш эрхтнүүдийн хоорондын хуваалцсан түлхүүр, хэрэглэгчийн солилцоо, backend хэрхэн хүсэхийг шийддэг хоёр дахь хүчин зүйлийг давхарладаг. Давхарга бүр өөрийн эзэн, өөрийн алдааны мессежтэй. Тэдгээрийг андуурвал хүмүүс бүлгийн нууцыг хадгалдаг талбарт нэг удаагийн кодыг дахин бичихэд хүрдэг.
Өөр клиент суулгах эсвэл нэвтрэх мэдээллийг сэргээхээс өмнө хүсэлт бүрийг түүнийг шаарддаг давхаргатай тааруулна уу.
Гурван нууц, гурван эзэн
Урьдчилан хуваалцсан түлхүүр нь тэгш эрхтнүүдийн харилцаанд хамаарах бөгөөд хоёр үзүүрийг удирддаг хүн нэг удаа тохируулна. Хэрэглэгчийн нэвтрэх мэдээлэл нь баталгаажуулалтын backend-д хамаарах бөгөөд нэвтрэх бүрт шалгагдана. Хоёр дахь хүчин зүйл нь оролдлого бүрт хариу нь өөрчлөгддөг токен системд хамаарна. Аль нь ч нөгөөг нь орлохгүй бөгөөд гурвыг нэг нууц үг гэж үздэг байршуулалт хэн ч баримтжуулаагүй давхарга дээр бүтэлгүйтдэг.
Гурван багана бичнэ үү: эзэн, хүчинтэй хугацаа, тус бүрийн гаргадаг алдааны мессеж. Оношилгооны хэрэгсэл нь тэр хүснэгт бөгөөд клиент дэх талбарын нэр биш.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: хүний биш, тэгш эрхтний
Энэ хуучин зохион байгуулалтад урьдчилан хуваалцсан түлхүүр нь гарцын хосыг баталгаажуулдаг тул хэрэглэгчийн нэвтрэлт түүнийг хэзээ ч орлохгүй. Энэ нь мөн хүсэлтийн оронд ерөнхий хэлэлцээрийн алдаа үүсгэдэг байдлаар хамгийн их буруу байдаг утга юм. Хэрэглэгчийн хүсэлт гарч ирэхээс өмнө туннель бүтэлгүйтвэл сэжигтэн нь түлхүүр эсвэл саналууд юм.
Хэрэглэгчийн нэвтрэх мэдээлэл эхний фазын доголдлыг засахгүй. Түүнийг эргүүлэх нь аюулгүй эргүүлж болох цорын ганц мэдээллийг үрэх бөгөөд буруу онолыг бэхжүүлнэ.
XAuth: хуучин хэрэглэгчийн солилцоо
XAuth нь IKEv1-ийн тэгш эрхтний баталгаажуулалтын дээр хэрэглэгчийн баталгаажуулалтын солилцоог нэмдэг бөгөөд аль backend үүнийг шалгахыг гарц шийддэг. Тэр backend-ээс хамаарч солилцоо нь хавтасны нууц үг, RADIUS мэдээлэл эсвэл токений хариуг хүлээж авч болно. XAuth гэдэг үг нь солилцооны тээврийг нэрлэдэг бөгөөд мэдээллийн төрлийг биш.
Гарцын профайл аль backend руу зааж байгааг шалгана уу. Энэ нь хэрэглэгчээс юу шаардах, нууц үг сэргээх нь үнэндээ юу өөрчлөхийг хэлдэг бөгөөд хоёулаа клиентийн профайлд харагдахгүй.
OTP: backend юу шаардсаныг
Зарим байршуулалт нууц үгийн дараа тусдаа нэг удаагийн код шаарддаг, бусад нь баримтжуулсан тусгаарлагчтай нэгдсэн оролтын форматыг тодорхойлдог. Хоёулаа байдаг бөгөөд таны өмнөх профайл алийг нь сонгохыг шийддэг. Өөр газар ажилласан учраас холболтын аргыг зохиож гаргах нь бүртгэлийн токеныг шатаах хамгийн түгээмэл арга юм. Үүнийг зөвхөн гарцын өөрийнх нь баримт бичиг шийднэ.
Баримтжуулсан форматыг гарцын санал болгож буй солилцоог гүйцээж чадах клиенттэй ашиглана уу.
Клиентийн хил хаана хазаж байна
Fortinet нь FortiClient 7.4.4 ба түүнээс хойшхи хувилбарууд IPsec VPN-д IKEv1-ийг дэмжихээ больсон гэж тэмдэглэсэн бөгөөд энэ нь FortiClient-ийн нийцлийн тэмдэглэл-д бичсэнээр бүх нийтийн устгал биш, бүтээгдэхүүн ба хувилбарын хил юм. Бусад клиентууд ч бие биенээ орлохгүй: OpenConnect болон openfortivpn нь тодорхой гарцын протоколоор ярьдаг бөгөөд дурын IKEv1 профайлаар биш. Суулгасан клиентийн IKE хувилбар, PSK горим, XAuth дэмжлэг, харилцан үйлчлэлийн загварыг тус тусад нь шалгана уу. Өөр аргаар холбогдсон клиент нь анхны шаардлагыг батлаагүй.
IKEv1 хоцрогдсон тул дэмжлэггүй хуучин клиент дээр босгосон шинэ байршуулалт нь богино настай шийдэл юм. Гарцын эзнээс дэмжигдсэн шилжилтийн зам, тэр дундаа хоёр дахь хүчин зүйлийг тэнд хэрхэн шийдвэрлэхийг асууна уу.
Хүчин зүйлийг унтраалгүйгээр оношлох
Бүртгэл дэх үе шатуудыг салгана уу: тэгш эрхтнүүдийн хэлэлцээр, хэрэглэгчийн солилцоо, хоёр дахь хүчин зүйлийн үр дүн, дараа нь хаяг ба маршрутын хуваарилалт. Кодыг талбар бүрт туршихын оронд бүрэлдэхүүн хэсэг, үе шатыг тэмдэглэнэ үү. Тест давахын тулд хүчин зүйлийг унтраах нь байршуулалтын талаар юу ч батлахгүй туннель үүсгэдэг.
Бүртгэлийн нууц ба хуваалцсан түлхүүрийг байгууллагын процессын дагуу хамгаалагдсан санд хадгална уу. Байнгын файл дахь нэг удаагийн код нь хүчин зүйл байхаа больсон хүчин зүйл юм.