IKEv1 med XAuth og OTP: kva kvar oppfordring spør om
Ein gruppe-PSK, ein XAuth-utveksling for brukaren og ei OTP-utfordring er tre ulike inndata. Kopla kvar oppfordring til eigaren sin før du installerer endå ein klient.
IKEv1 med PSK, XAuth og OTP ber ikkje om eitt komplisert passord. Det stablar ein delt nøkkel mellom peers, ein brukarutveksling og ein andre faktor som backend avgjer korleis det skal spørjast om. Kvart lag har sin eigen eigar og si eiga feilmelding. Å blande dei gjer at folk skriv inn ein eingongskode på nytt i eit felt som lagrar ein gruppehemmelegheit.
Kopla kvar oppfordring til laget som spør om henne, før du installerer ein annan klient eller nullstiller ei påloggingsinformasjon.
Tre hemmelegheiter, tre eigarar
Den førehandsdelte nøkkelen høyrer til peer-tilhøvet og vert konfigurert éin gong av den som styrer båe endane. Påloggingsinformasjonen til brukaren høyrer til autentiseringsbackend og vert validert ved kvar innlogging. Den andre faktoren høyrer til eit tokensystem der svaret endrar seg ved kvart forsøk. Ingen erstattar ein annan, og ein utrulling som handsamar dei som eitt passord, feilar på laget ingen har dokumentert.
Skriv ned tre kolonnar: eigar, levetid og feilmeldinga kvar av dei gjev. Den tabellen er diagnoseverktøyet, ikkje feltnamna i klienten.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: peeren sin, ikkje personen sin
I denne eldre ordninga autentiserer den førehandsdelte nøkkelen gateway-paret, så innlogginga til brukaren erstattar han aldri. Det er også verdien som oftast er feil på ein måte som gjev ein generell forhandlingsfeil i staden for ei oppfordring. Når tunnelen feilar før noka brukaroppfordring viser seg, er nøkkelen eller framlegga dei mistenkte.
Påloggingsinformasjonen til brukaren kan ikkje reparere ein feil i første fase. Å rotere han sløser bort den einaste påloggingsinformasjonen du trygt kan rotere, og forsterkar den gale teorien.
XAuth: den eldre brukarutvekslinga
XAuth legg til ein utveksling for brukarautentisering oppå peer-autentiseringa i IKEv1, og gatewayen avgjer kva backend som validerer han. Avhengig av den backenden kan utvekslinga godta eit katalogpassord, ein RADIUS-påloggingsinformasjon eller eit tokensvar. Ordet XAuth namngjev transporten i utvekslinga, ikkje typen påloggingsinformasjon.
Sjekk kva backend gatewayprofilen peikar på. Det fortel kva brukaren vert spurd om og kva ei passordnullstilling faktisk endrar, og ingen av delane er synlege i ein klientprofil.
OTP: akkurat det backend ber om
Nokre utrullingar ber om ein eigen eingongskode etter passordet, andre definerer eit kombinert inndataformat med ein dokumentert separator. Båe finst, og profilen framfor deg avgjer kva ein. Å finne opp ei samanslåing fordi ho verka på ein annan stad, er den vanlegaste måten å brenne eit registreringstoken. Berre dokumentasjonen til gatewayen sjølv avgjer saka.
Bruk det dokumenterte formatet med ein klient som kan fullføre utvekslinga gatewayen tilbyr.
Der klientgrensa bit
Fortinet dokumenterer at FortiClient 7.4.4 og nyare ikkje lenger støttar IKEv1 for IPsec-VPN, noko som er ei produkt- og versjonsgrense og ikkje ei universell fjerning, slik kompatibilitetsmerknaden til FortiClient registrerer. Heller ikkje andre klientar er utskiftbare: OpenConnect og openfortivpn snakkar bestemte gatewayprotokollar, ikkje vilkårlege IKEv1-profilar. Sjekk IKE-versjon, PSK-modus, XAuth-støtte og interaksjonsmodell for den installerte klienten kvar for seg. Ein klient som koplar til med ein annan metode, har ikkje prova det opphavlege kravet.
IKEv1 er utdatert, så ein ny utrulling bygd på ein gammal klient utan støtte er ei kortliva løysing. Be gatewayeigaren om ein støtta migreringsveg, inkludert korleis den andre faktoren skal handterast der.
Diagnostisere utan å slå av faktoren
Skil trinna i loggen: peer-forhandling, brukarutvekslinga, resultatet av den andre faktoren og deretter tildeling av adresse og rute. Noter komponenten og trinnet i staden for å prøve koden i kvart felt. Å slå av faktoren så ein test går gjennom, gjev ein tunnel som ikkje provar noko om utrullinga.
Oppbevar registreringshemmelegheiter og den delte nøkkelen i verna lagring etter prosessen til organisasjonen. Ein eingongskode i ei permanent fil er ein faktor som har slutta å vere ein faktor.