Is-sigriet tal-grupp vpnc jew id-dħul tiegħek: liema qasam jieħu xiex?
Profil vpnc jitlob ID tal-grupp, sigriet tal-grupp u dħul XAuth, u n-nies ipoġġu l-password tal-kont fil-kaxxa żbaljata. Ippjana kull qasam skont ir-rwol tiegħu.
L-ewwel darba li xi ħadd jagħtik profil vpnc, id-djalogu tal-kredenzjali jistaqsi erba' affarijiet u jinqara bħallikieku jrid password waħda. Ma jridx: sigriet tal-grupp maqsum minn qabel u dħul XAuth individwali huma valuri separati b'sidien separati, u t-tqegħid tal-password tal-kont fil-qasam tal-grupp jagħti falliment li jidher bħal password ħażina u mhux bħal kaxxa żbaljata. Li tagħmel dan it-tqabbil sew hija l-biċċa xogħol kollha hawn. Il-protokoll ta' taħt huwa proġett ta' migrazzjoni ta' ħaddieħor, u għalhekk xejn minn dan mhuwa argument biex jinbnew tunelli IKEv1 ġodda.
Żewġ sigrieti, żewġ sidien, djalogu wieħed
Is-sigriet tal-grupp jappartjeni għall-profil tal-bieb. Kulħadd li jgħaqqad permezz ta' dan il-profil juża l-istess valur, u għalhekk preċiżament ma jistax jidentifika persuna u ma jistax jiġi rtirat minn laptop wieħed mingħajr ma jinbidel għall-utenti l-oħra kollha tal-profil. L-isem tal-utent u l-password XAuth min-naħa l-oħra jappartjenu lill-bniedem, u l-bieb jevalwahom fit-tieni stadju wara li l-assoċjazzjoni IPsec tkun diġà mwaqqfa.
Hija din il-forma f'żewġ stadji li n-nies jitilfu. It-twaqqif tat-tunnell u l-awtentikazzjoni tal-utent huma skambji differenti b'input differenti, għalhekk klijent li qatt ma jasal għat-talba tal-kredenzjali ma fallax fid-dħul xejn. Aqra d-djalogu bħala żewġ kolonni u mhux waħda: valuri tal-profil kollu fuq ix-xellug, valuri personali fuq il-lemin. Meta konnessjoni tfalli, il-kolonna li mlejt l-aħħar mhijiex awtomatikament il-kolonna ħatja.
Ippjana l-oqsma skont ir-rwol, mhux skont it-tikketta
vpnc isemmi d-direttivi tiegħu fid-dokumentazzjoni tal-proġett, u kull interface grafika terġa' tagħtihom ismijiet. Ittraduċi r-rwol ta' kull valur, u t-tikketti ma jibqgħux importanti:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Interface li turi «Isem tal-utent» u «Password» ħdejn qasam tal-grupp mhijiex żbaljata — huma l-istess tliet valuri b'ismijiet differenti. Dak li jinkiser huwa li timla kaxxa għax valur jaqbel fiha. Sigriet tal-grupp imwaħħal bħala password tal-utent jawtentika l-profil u mbagħad ifalli fl-istadju tal-utent; password tal-kont imwaħħla bħala sigriet tal-grupp tfalli eqreb, qabel kull talba, u tibgħat lin-nies iħarsu lejn il-ħitan tan-nar għal problema li tgħix f'qasam tat-test.
X'inhu mhux identifikatur tal-grupp
Il-kelma grupp tistieden qari żbaljat. Identifikatur tal-grupp hawn huwa selettur li jgħid lill-bieb liema konfigurazzjoni tal-profil għandha tiġi applikata; ma jgħid xejn dwar sħubija fid-direttorju, u isem li jaqbel fuq iż-żewġ naħat huwa koinkidenza sakemm l-operatur jikkonfermah. L-awtorizzazzjoni sseħħ wara li XAuth jirnexxi, deċiża minn dak li l-bieb huwa konfigurat biex jikkonsulta, u xejn minn dan mhuwa viżibbli fid-djalogu tal-klijent.
L-istess kawtela tapplika għas-sigriet tal-grupp. Li tkun tafu mhuwiex identità, u li ddawwar sigriet wieħed madwar tim hija deċiżjoni operattiva b'konsegwenzi li l-klijent ma jistax jurik.
Issolvi l-istruzzjoni ambigwa qabel ma tqabbad
In-noti tal-konsenja tal-wirt spiss ikollhom linja bħal «uża l-IP pubbliku ddedikat». Dik il-frażi tista' tfisser l-indirizz li minnu lista ta' permessi fuq in-naħa l-oħra tistenna li jasal it-traffiku tiegħek, din hija proprjetà tal-ħruġ tan-netwerk tal-operatur u m'għandha xejn x'taqsam mal-punt tat-tmiem li tittajpja fil-qasam tal-bieb. Staqsi liema miż-żewġ hija l-ġewwa qabel il-valur imur imkien. Mimli bil-maqlub, jibgħat kull pakkett lejn indirizz li qatt ma jwieġeb, u l-timeout li jirriżulta jinqara bħal port imblukkat.
Itlob erba' affarijiet permezz tal-kanal ivverifikat tal-organizzazzjoni: liema klijent u protokoll huma appoġġati, liema punt tat-tmiem għandu jintuża, liema identità se tippreżenta l-bieb, u kif jiġu mgħoddija l-kredenzjali. Żomm sigrieti veri barra minn screenshots, tickets u noti ta' soluzzjoni kondiviżi. Tiddiżattivax il-verifiki taċ-ċertifikat u twaħħalx lista antika taċ-ċifrar biex servizz ikkonfigurat mod ieħor jidher kompatibbli, għax konnessjoni li taħdem biss billi ddgħajjef il-verifika mhijiex il-konnessjoni li ntalabek tibni.
Żomm il-profil tal-wirt onest
IKEv1 huwa skadut, u RFC 9395 huwa d-dokument li għandu jiġi ċċitat meta tqum il-kwistjoni tal-migrazzjoni. Tqabbil tal-oqsma li jirnexxi mhuwiex prova li l-protokoll jappartjeni għal disinn ġdid; dak li jixtri huwa konnessjoni li taħdem sakemm is-sostituzzjoni tkun ippjanata, flimkien ma' ambitu bil-miktub u sid għal dik il-migrazzjoni.
Imbagħad ivverifika kontra r-rekwiżit u mhux kontra d-djalogu. Wara li tqabbad, ikkonferma li l-interface tat-tunnell għandha l-indirizz mistenni u li destinazzjoni interna tiġi mgħoddija minnha; jekk ir-rekwiżit oriġinali semma indirizz tal-ħruġ għal lista ta' permessi, ikkonferma dak l-indirizz ukoll, għax dan huwa fatt differenti milli t-tunnell ikun imqajjem. Profil li jawtentika sew u ma jgħaddix xejn xorta waħda falla l-kompitu li nħoloq għalih.