IKEv1 dengan XAuth dan OTP: apa yang diminta setiap gesaan
PSK kumpulan, pertukaran XAuth pengguna dan cabaran OTP ialah tiga input yang berbeza. Padankan setiap gesaan dengan pemiliknya sebelum memasang klien lain.
IKEv1 dengan PSK, XAuth dan OTP tidak meminta satu kata laluan yang rumit. Ia menyusun lapisan kunci kongsi antara rakan sebaya, pertukaran pengguna, dan faktor kedua yang cara permintaannya ditentukan oleh bahagian belakang. Setiap lapisan mempunyai pemilik dan mesej kegagalannya sendiri. Mengelirukan ketiga-tiganya menyebabkan orang menaip semula kod sekali guna ke dalam medan yang menyimpan rahsia kumpulan.
Padankan setiap gesaan dengan lapisan yang memintanya sebelum memasang klien lain atau menetapkan semula kelayakan.
Tiga rahsia, tiga pemilik
Kunci pra-kongsi milik hubungan rakan sebaya dan dikonfigurasi sekali oleh pihak yang mengurus kedua-dua hujung. Kelayakan pengguna milik bahagian belakang pengesahan dan disahkan pada setiap log masuk. Faktor kedua milik sistem token yang responsnya berubah pada setiap percubaan. Tiada satu menggantikan yang lain, dan penggunaan yang menganggap ketiga-tiganya sebagai satu kata laluan akan gagal pada lapisan yang tiada siapa mendokumentasikannya.
Tulis tiga lajur: pemilik, jangka hayat, dan mesej kegagalan yang dihasilkan setiap satu. Jadual itulah alat diagnostik, bukan nama medan klien.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: milik rakan sebaya, bukan milik orang
Dalam susunan lama ini, kunci pra-kongsi mengesahkan pasangan get laluan, jadi log masuk pengguna tidak pernah menggantikannya. Ia juga nilai yang paling mudah salah dengan cara yang menghasilkan ralat rundingan umum dan bukannya gesaan. Apabila terowong gagal sebelum sebarang gesaan pengguna muncul, kunci atau cadangan adalah suspek.
Kelayakan pengguna tidak dapat membaiki kegagalan fasa pertama. Memutarkannya hanya membazirkan satu-satunya kelayakan yang boleh diputar dengan selamat, dan mengukuhkan teori yang salah.
XAuth: pertukaran pengguna lama
XAuth menambah pertukaran pengesahan pengguna di atas pengesahan rakan sebaya IKEv1, dan get laluan menentukan bahagian belakang mana yang mengesahkannya. Bergantung pada bahagian belakang itu, pertukaran mungkin menerima kata laluan direktori, kelayakan RADIUS atau respons token. Perkataan XAuth menamakan pengangkutan pertukaran, bukan jenis kelayakan.
Semak bahagian belakang mana yang dituju profil get laluan. Itu memberitahu apa yang akan diminta daripada pengguna dan apa yang sebenarnya diubah oleh set semula kata laluan, dan kedua-duanya tidak kelihatan dalam profil klien.
OTP: apa sahaja yang diminta bahagian belakang
Sesetengah penggunaan meminta kod sekali guna berasingan selepas kata laluan, manakala yang lain mentakrifkan format input gabungan dengan pemisah yang didokumentasikan. Kedua-duanya wujud, dan profil di hadapan anda yang menentukan. Mereka bentuk cara gabungan kerana ia berkesan di tapak lain ialah cara paling biasa untuk membakar token pendaftaran. Dokumentasi get laluan sendiri adalah satu-satunya sumber yang memuktamadkannya.
Gunakan format yang didokumentasikan dengan klien yang dapat menyelesaikan pertukaran yang ditawarkan get laluan.
Di mana sempadan klien menggigit
Fortinet menyatakan bahawa FortiClient 7.4.4 dan seterusnya tidak lagi menyokong IKEv1 untuk VPN IPsec, yang merupakan sempadan produk dan versi dan bukan pembuangan menyeluruh, seperti yang dicatat dalam nota keserasian FortiClient. Klien lain juga tidak boleh saling menggantikan: OpenConnect dan openfortivpn bercakap protokol get laluan tertentu, bukan profil IKEv1 sewenang-wenangnya. Semak versi IKE, mod PSK, sokongan XAuth dan model interaksi klien yang dipasang satu demi satu. Klien yang bersambung dengan kaedah lain belum membuktikan keperluan asal.
IKEv1 sudah lapuk, jadi pelancaran baharu di atas klien lama yang tidak disokong ialah penyelesaian jangka pendek. Mintalah laluan migrasi yang disokong daripada pemilik get laluan, termasuk bagaimana faktor kedua akan dikendalikan di sana.
Mendiagnosis tanpa mematikan faktor
Asingkan peringkat dalam log: rundingan rakan sebaya, pertukaran pengguna, keputusan faktor kedua, kemudian penetapan alamat dan laluan. Catat komponen dan peringkat dan bukannya mencuba kod dalam setiap medan. Mematikan faktor supaya ujian lulus menghasilkan terowong yang tidak membuktikan apa-apa tentang penggunaan.
Simpan rahsia pendaftaran dan kunci kongsi dalam storan terlindung mengikut proses organisasi. Kod sekali guna dalam fail kekal ialah faktor yang sudah berhenti menjadi faktor.