vpnc-gruppehemmelegheit eller pålogginga di: kva felt tek kva?

Fyrste gong nokon gjev deg ein vpnc-profil, spør påloggingsdialogen om fire ting og blir lesen som om han vil ha eitt passord. Det vil han ikkje: ei førehandsdelt gruppehemmelegheit og ei individuell XAuth-pålogging er skilde verdiar med skilde eigarar, og å setje kontopassordet i gruppefeltet gjev ein feil som ser ut som eit dårleg passord snarare enn eit feil felt. Å få kartlegginga rett er heile oppgåva her. Protokollen under er ein annan sin migrasjonsprosjekt, og difor er ingenting av dette eit argument for å byggje nye IKEv1-tunnelar.

To hemmelegheiter, to eigarar, éin dialog

Ei gruppehemmelegheit høyrer til gatewayprofilen. Alle som koplar til gjennom den profilen, brukar same verdi, og nettopp difor kan ho ikkje identifisere ein person og kan ikkje trekkjast tilbake frå éin berbar utan å endrast for alle andre brukarar av profilen. XAuth-brukarnamnet og -passordet høyrer derimot til mennesket, og gatewayen vurderer dei i ein andre fase etter at IPsec-sambandet alt står.

Det er denne tofasa forma folk overser. Tunnetablering og brukarautentisering er ulike utvekslingar med ulike inndata, så ein klient som aldri når påloggingsforespurnaden, har slett ikkje feila på pålogginga. Les dialogen som to kolonnar i staden for éin: verdiar for heile profilen til venstre, personlege verdiar til høgre. Når ei tilkopling feilar, er kolonnen du fylte ut sist, ikkje automatisk den skuldige.

Kartlegg felta etter rolle, ikkje etter etikett

vpnc namngjev direktiva sine i prosjektdokumentasjonen, og kvar grafisk frontend gir dei nye namn. Omset rolla til kvar verdi, så sluttar etikettane å bety noko:

Ein frontend som viser «Brukarnamn» og «Passord» ved sida av eit gruppefelt, er ikkje feil — det er dei same tre verdiane under ulike namn. Det som ryker, er å fylle ut eit felt fordi ein verdi passar i det. Ei gruppehemmelegheit limt inn som brukarpassord autentiserer profilen og feilar deretter i brukarfasen; eit kontopassord limt inn som gruppehemmelegheit feilar tidlegare, før noka forespurnad, og sender folk til å leite etter problemet i brannmurar medan det bur i eit tekstfelt.

Kva ein gruppeidentifikator ikkje er

Ordet gruppe inviterer til ei feil lesing. Ein gruppeidentifikator her er ein veljar som fortel gatewayen kva profilkonfigurasjon som skal brukast; han seier ingenting om katalogmedlemskap, og eit samsvarande namn på begge sider er ein tilfeldigheit til operatøren stadfester det. Autorisasjon skjer etter at XAuth lukkast, avgjort av det gatewayen er konfigurert til å rådføre seg med, og ingenting av det er synleg i klientdialogen.

Same varsemd gjeld for gruppehemmelegheita. Å kjenne ho er ikkje ein identitet, og å sirkulere éi hemmelegheit i eit team er ei driftsavgjerd med konsekvensar klienten ikkje kan vise deg.

Avklar den tvitydige instruksen før du koplar til

Overleveringsnotat frå arven inneheld ofte ei linje som «bruk den dedikerte offentlege IP-en». Den formuleringa kan bety adressa som ei tillatingsliste på den andre sida ventar at trafikken din kjem frå, det er ein utgangseigenskap ved operatøren sitt nett og har ingenting å gjere med endepunktet du skriv i gatewayfeltet. Spør kva av dei to som er meint før verdien går nokon stad. Fylt ut baklengs sender det kvar pakke til ei adresse som aldri svarar, og tidsavbrotet som følgjer, blir lese som ein blokkert port.

Be om fire ting gjennom den stadfesta kanalen til organisasjonen: kva klient og protokoll som blir støtta, kva endepunkt som skal brukast, kva identitet gatewayen vil presentere, og korleis påloggingsinformasjon blir overlevert. Hald ekte hemmelegheiter unna skjermbilete, saker og delte feilsøkingsnotat. Ikkje deaktiver sertifikatkontrollar og ikkje lim inn ei gammal chifferliste for å få ein annleis konfigurert teneste til å verke kompatibel, for ei tilkopling som berre verkar ved å svekke verifiseringa, er ikkje tilkoplinga du blei beden om å byggje.

Hald den gamle profilen ærleg

IKEv1 er utdatert, og RFC 9395 er dokumentet som skal siterast når migrasjonsspørsmålet dukkar opp. Ei vellukka feltkartlegging er ikkje prov på at protokollen høyrer heime i eit nytt design; det ho kjøper, er ei fungerande tilkopling medan utskiftinga blir planlagd, pluss eit skriftleg omfang og ein eigar av den migrasjonen.

Verifiser deretter mot kravet i staden for mot dialogen. Etter tilkopling, stadfest at tunnelgrensesnittet har den forventa adressa og at ein intern destinasjon blir ruta gjennom det; om det opphavlege kravet nemnde ei utgangsadresse for ei tillatingsliste, stadfest den adressa òg, for det er eit anna faktum enn at tunnelen er oppe. Ein profil som autentiserer rett og ikkje ruter noko, har framleis feila oppgåva han blei laga for.