IKEv1 ma' XAuth u OTP: x'jistaqsi kull messaġġ
PSK tal-grupp, skambju XAuth tal-utent u sfida OTP huma tliet inputs differenti. Qabbel kull messaġġ mal-proprjetarju tiegħu qabel ma tinstalla klijent ieħor.
IKEv1 b'PSK, XAuth u OTP mhuwiex jitlob password wieħed komplikat. Huwa jgħaqqad saffi ta' muftieħ maqsum bejn il-peers, skambju tal-utent, u t-tieni fattur li l-backend jiddeċiedi kif jitlobh. Kull saff għandu l-proprjetarju tiegħu u l-messaġġ ta' falliment tiegħu. Il-ħawwad bejniethom iwassal biex in-nies jerġgħu jiktbu kodi ta' darba f'qasam li jaħżen sigriet tal-grupp.
Qabbel kull messaġġ mas-saff li jitolbu qabel ma tinstalla klijent ieħor jew terġa' tissettja kredenzjali.
Tliet sigrieti, tliet proprjetarji
Il-muftieħ maqsum jappartjeni għar-relazzjoni bejn il-peers u jiġi konfigurat darba minn min jamministra ż-żewġ trufijiet. Il-kredenzjali tal-utent jappartjenu lill-backend tal-awtentikazzjoni u jiġu vvalidati f'kull login. It-tieni fattur jappartjeni lil sistema ta' tokens li r-risposta tagħha tinbidel f'kull tentattiv. Ħadd ma jieħu post ieħor, u implimentazzjoni li tittrattahom bħala password waħda tfalli fis-saff li ħadd ma ddokumenta.
Ikteb tliet kolonni: proprjetarju, tul tal-ħajja, u l-messaġġ ta' falliment li kull wieħed jipproduċi. Dik it-tabella hija l-għodda tad-dijanjosi, mhux l-ismijiet tal-qasmiet fil-klijent.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: tal-peer, mhux tal-persuna
F'dan l-arranġament antik, il-muftieħ maqsum jawtentika l-par tal-gateways, għalhekk il-login tal-utent qatt ma jieħu postu. Huwa wkoll il-valur li l-aktar spiss ikun ħażin b'mod li jipproduċi żball ġenerali tan-negozjati minflok messaġġ. Meta t-tunnel jfalli qabel ma jidher xi messaġġ tal-utent, il-muftieħ jew il-proposti huma s-suspettati.
Kredenzjali tal-utent ma jistgħux isewwu falliment tal-ewwel fażi. Ir-rotazzjoni tagħhom taħli l-unika kredenzjali li tista' ddawwar b'mod sigur, u ssaħħaħ it-teorija żbaljata.
XAuth: l-antik skambju tal-utent
XAuth iżid skambju ta' awtentikazzjoni tal-utent fuq l-awtentikazzjoni tal-peer f'IKEv1, u l-gateway jiddeċiedi liema backend jivvaldah. Skont dak il-backend, l-iskambju jista' jaċċetta password tad-direttorju, kredenzjali RADIUS jew risposta ta' token. Il-kelma XAuth issemmi t-trasport tal-iskambju, mhux it-tip ta' kredenzjali.
Iċċekkja liema backend qed jindika l-profil tal-gateway. Dan jgħid x'inhu se jintalab mill-utent u x'verament jinbidel b'reset tal-password, u lanqas waħda minnhom ma tidher fil-profil tal-klijent.
OTP: kulma jitlob il-backend
Xi implimentazzjonijiet jitolbu kodi ta' darba separat wara l-password, oħrajn jiddefinixxu format ta' input magħqud b'separatur dokumentat. It-tnejn jeżistu, u l-profil quddiemek jiddeċiedi liema. Li tivvinta konkatentazzjoni għax ħadmet f'sit ieħor huwa l-aktar mod komuni kif taħli token tar-reġistrazzjoni. Id-dokumentazzjoni tal-gateway stess hija l-uniku sors li jsolviha.
Uża l-format dokumentat ma' klijent li jista' jtemm l-iskambju li joffri l-gateway.
Fejn tigdimes il-konfini tal-klijent
Fortinet jiddokumenta li FortiClient 7.4.4 u wara ma jibqgħux jappoġġjaw IKEv1 għal VPNs IPsec, li hija konfini ta' prodott u verżjoni u mhux tneħħija universali, kif jirreġistra n-nota tal-kompatibilità ta' FortiClient. Anke klijenti oħra mhumiex interkambjabbli: OpenConnect u openfortivpn jitkellmu protokolli tal-gateway partikolari, mhux profili IKEv1 arbitrarji. Iċċekkja individwalment il-verżjoni IKE, il-mod PSK, l-appoġġ XAuth u l-mudell ta' interazzjoni tal-klijent installat. Klijent li jgħaqqad b'metodu ieħor ma ppruvax il-ħtieġa oriġinali.
IKEv1 huwa skadut, għalhekk tnedija ġdida mibnija fuq klijent antik mhux appoġġjat hija soluzzjoni ta' żmien qasir. Itlob lill-proprjetarju tal-gateway triq ta' migrazzjoni appoġġjata, inkluż kif it-tieni fattur se jiġi trattat hemmhekk.
Dijanjosi mingħajr ma tintefa l-fattur
Aqsam l-istadji fil-log: negozjati tal-peers, l-iskambju tal-utent, ir-riżultat tat-tieni fattur, imbagħad l-assenjazzjoni tal-indirizz u tar-rotta. Irreġistra l-komponent u l-istadju minflok tipprova l-kodi f'kull qasam. Li tintefa l-fattur biex test jgħaddi jipproduċi tunnel li ma jipprova xejn dwar l-implimentazzjoni.
Żomm is-sigrieti tar-reġistrazzjoni u l-muftieħ maqsum f'ħażna protetta skont il-proċess tal-organizzazzjoni. Kodi ta' darba f'file permanenti huwa fattur li waqaf ikun wieħed.