Rahsia kumpulan vpnc atau log masuk anda: ruang mana mengambil apa?
Profil vpnc meminta ID kumpulan, rahsia kumpulan dan log masuk XAuth, dan orang meletakkan kata laluan akaun di kotak yang salah. Petakan setiap ruang mengikut peranannya.
Kali pertama seseorang memberikan profil vpnc kepada anda, dialog kelayakan bertanya empat perkara dan dibaca seolah-olah mahu satu kata laluan. Ia tidak: rahsia kumpulan yang dikongsi terlebih dahulu dan log masuk XAuth individu ialah nilai berasingan dengan pemilik berasingan, dan meletakkan kata laluan akaun ke dalam ruang kumpulan menghasilkan kegagalan yang kelihatan seperti kata laluan buruk dan bukan kotak yang salah. Mendapatkan pemetaan ini dengan betul ialah keseluruhan tugasan di sini. Protokol di bawahnya ialah projek migrasi orang lain, sebab itu tiada satu pun daripada ini menjadi hujah untuk membina terowong IKEv1 baharu.
Dua rahsia, dua pemilik, satu dialog
Rahsia kumpulan milik profil gerbang. Semua yang bersambung melalui profil itu menggunakan nilai yang sama, dan itulah sebabnya ia tidak boleh mengenal pasti seseorang dan tidak boleh ditarik balik daripada satu komputer riba tanpa mengubahnya untuk semua pengguna profil yang lain. Nama pengguna dan kata laluan XAuth pula milik manusia, dan gerbang menilainya pada peringkat kedua selepas perkaitan IPsec sudah naik.
Bentuk dua peringkat inilah yang terlepas pandang. Pembinaan terowong dan pengesahan pengguna ialah pertukaran berbeza dengan input berbeza, jadi klien yang tidak pernah sampai ke gesaan kelayakan sama sekali tidak gagal pada log masuk. Baca dialog sebagai dua lajur dan bukan satu: nilai seluruh profil di kiri, nilai peribadi di kanan. Apabila sambungan gagal, lajur yang anda isi paling akhir bukan secara automatik lajur yang bersalah.
Petakan ruang mengikut peranan, bukan mengikut label
vpnc menamakan arahannya dalam dokumentasi projek, dan setiap antara muka grafik menamakannya semula. Terjemahkan peranan setiap nilai, maka label tidak lagi penting:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Antara muka yang memaparkan «Nama pengguna» dan «Kata laluan» di sebelah ruang kumpulan tidak salah — ia nilai tiga yang sama di bawah nama berbeza. Yang rosak ialah mengisi kotak kerana nilai itu muat di dalamnya. Rahsia kumpulan yang ditampal sebagai kata laluan pengguna mengesahkan profil dan kemudian gagal pada peringkat pengguna; kata laluan akaun yang ditampal sebagai rahsia kumpulan gagal lebih awal, sebelum sebarang gesaan, dan menghantar orang memeriksa tembok api untuk masalah yang tinggal dalam ruang teks.
Apa yang bukan pengenal kumpulan
Perkataan kumpulan mengundang bacaan yang salah. Pengenal kumpulan di sini ialah pemilih yang memberitahu gerbang konfigurasi profil mana yang hendak digunakan; ia tidak berkata apa-apa tentang keahlian direktori, dan nama yang sepadan di kedua-dua pihak ialah kebetulan sehingga pengendali mengesahkannya. Kebenaran berlaku selepas XAuth berjaya, diputuskan oleh apa yang gerbang dikonfigurasikan untuk rujuk, dan tiada satu pun daripada itu kelihatan dalam dialog klien.
Kehati-hatian yang sama terpakai pada rahsia kumpulan. Mengetahuinya bukan identiti, dan menyebarkan satu rahsia dalam pasukan ialah keputusan operasi dengan kesan yang tidak dapat ditunjukkan oleh klien kepada anda.
Selesaikan arahan kabur sebelum bersambung
Nota penyerahan lama selalunya mengandungi baris seperti «gunakan IP awam khusus». Frasa itu mungkin bermaksud alamat dari mana senarai kebenaran di sebelah sana menjangkakan trafik anda tiba, itu sifat keluar rangkaian pengendali dan tiada kaitan dengan titik akhir yang anda taip dalam ruang gerbang. Tanyakan yang mana satu dimaksudkan sebelum nilai itu pergi ke mana-mana. Diisi terbalik, ia menghantar setiap paket ke alamat yang tidak pernah menjawab, dan tamat masa yang terhasil dibaca seperti port yang disekat.
Minta empat perkara melalui saluran pengesahan organisasi: klien dan protokol mana yang disokong, titik akhir mana yang hendak digunakan, identiti apa yang akan ditunjukkan oleh gerbang, dan bagaimana kelayakan diserahkan. Jauhkan rahsia sebenar daripada tangkapan skrin, tiket dan nota penyelesaian masalah yang dikongsi. Jangan lumpuhkan pemeriksaan sijil dan jangan tampal senarai sifer lama untuk membuat perkhidmatan yang dikonfigurasikan secara berbeza kelihatan serasi, kerana sambungan yang hanya berfungsi dengan melemahkan pengesahan bukan sambungan yang diminta untuk anda bina.
Kekalkan profil lama dengan jujur
IKEv1 sudah usang, dan RFC 9395 ialah dokumen yang perlu dirujuk apabila persoalan migrasi timbul. Pemetaan ruang yang berjaya bukan bukti bahawa protokol itu tergolong dalam reka bentuk baharu; apa yang dibelinya ialah sambungan yang berfungsi sementara penggantian dijadualkan, ditambah skop bertulis dan pemilik untuk migrasi itu.
Kemudian sahkan terhadap keperluan dan bukan terhadap dialog. Selepas bersambung, pastikan antara muka terowong memegang alamat yang dijangka dan destinasi dalaman dihalakan melaluinya; jika keperluan asal menamakan alamat keluar untuk senarai kebenaran, sahkan juga alamat itu, kerana itu fakta berbeza daripada terowong yang naik. Profil yang mengesahkan dengan betul dan tidak menghalakan apa-apa masih gagal tugas yang menjadi sebab ia dicipta.