vpnc-gruppehemmelighet eller påloggingen din: hvilket felt tar hva?

Første gang noen gir deg en vpnc-profil, spør påloggingsdialogen om fire ting og leses som om den vil ha ett passord. Det vil den ikke: en forhåndsdelt gruppehemmelighet og en individuell XAuth-pålogging er separate verdier med separate eiere, og å sette kontopassordet i gruppefeltet gir en feil som ser ut som et dårlig passord snarere enn et feil felt. Å få kartleggingen riktig er hele oppgaven her. Protokollen under er noen andres migrasjonsprosjekt, og derfor er ingenting av dette et argument for å bygge nye IKEv1-tunneler.

To hemmeligheter, to eiere, én dialog

En gruppehemmelighet tilhører gatewayprofilen. Alle som kobler til gjennom den profilen, bruker samme verdi, og nettopp derfor kan den ikke identifisere en person og kan ikke trekkes tilbake fra én bærbar uten å endres for alle andre brukere av profilen. XAuth-brukernavnet og -passordet tilhører derimot mennesket, og gatewayen vurderer dem i en andre fase etter at IPsec-forbindelsen allerede er oppe.

Det er denne tofasede formen folk overser. Tunnetablering og brukerautentisering er forskjellige utvekslinger med forskjellige inndata, så en klient som aldri når påloggingsforespørselen, har slett ikke feilet på påloggingen. Les dialogen som to kolonner i stedet for én: verdier for hele profilen til venstre, personlige verdier til høyre. Når en tilkobling feiler, er kolonnen du fylte ut sist, ikke automatisk den skyldige.

Kartlegg feltene etter rolle, ikke etter etikett

vpnc navngir direktivene sine i prosjektdokumentasjonen, og hver grafisk frontend gir dem nye navn. Oversett rollen til hver verdi, så slutter etikettene å bety noe:

En frontend som viser «Brukernavn» og «Passord» ved siden av et gruppefelt, er ikke feil — det er de samme tre verdiene under forskjellige navn. Det som ryker, er å fylle ut et felt fordi en verdi passer i det. En gruppehemmelighet limt inn som brukerpassord autentiserer profilen og feiler deretter i brukerfasen; et kontopassord limt inn som gruppehemmelighet feiler tidligere, før noen forespørsel, og sender folk til å lete etter problemet i brannmurer mens det bor i et tekstfelt.

Hva en gruppeidentifikator ikke er

Ordet gruppe inviterer til en feil lesning. En gruppeidentifikator her er en velger som forteller gatewayen hvilken profilkonfigurasjon som skal brukes; den sier ingenting om katalogmedlemskap, og et samsvarende navn på begge sider er en tilfeldighet til operatøren bekrefter det. Autorisasjon skjer etter at XAuth lykkes, avgjort av det gatewayen er konfigurert til å konsultere, og ingenting av det er synlig i klientdialogen.

Samme forsiktighet gjelder for gruppehemmeligheten. Å kjenne den er ikke en identitet, og å sirkulere én hemmelighet i et team er en driftsbeslutning med konsekvenser klienten ikke kan vise deg.

Avklar den tvetydige instruksen før du kobler til

Overleveringsnotater fra arven inneholder ofte en linje som «bruk den dedikerte offentlige IP-en». Den formuleringen kan bety adressen som en tillatelsesliste på den andre siden forventer at trafikken din kommer fra, det er en utgangsegenskap ved operatørens nettverk og har ingenting å gjøre med endepunktet du skriver i gatewayfeltet. Spør hvilken av de to som menes før verdien går noe sted. Fylt ut baklengs sender den hver pakke til en adresse som aldri svarer, og tidsavbruddet som følger, leses som en blokkert port.

Be om fire ting gjennom organisasjonens verifiserte kanal: hvilken klient og protokoll som støttes, hvilket endepunkt som skal brukes, hvilken identitet gatewayen vil presentere, og hvordan påloggingsinformasjon overleveres. Hold ekte hemmeligheter unna skjermbilder, saker og delte feilsøkingsnotater. Ikke deaktiver sertifikatkontroller og ikke lim inn en gammel chifferliste for å få en annerledes konfigurert tjeneste til å virke kompatibel, for en tilkobling som bare virker ved å svekke verifiseringen, er ikke tilkoblingen du ble bedt om å bygge.

Hold den gamle profilen ærlig

IKEv1 er utdatert, og RFC 9395 er dokumentet som skal siteres når migrasjonsspørsmålet dukker opp. En vellykket feltkartlegging er ikke bevis for at protokollen hører hjemme i et nytt design; det den kjøper, er en fungerende tilkobling mens utskiftingen planlegges, plus et skriftlig omfang og en eier av den migrasjonen.

Verifiser deretter mot kravet i stedet for mot dialogen. Etter tilkobling, bekreft at tunnelgrensesnittet har den forventede adressen og at en intern destinasjon rutes gjennom det; hvis det opprinnelige kravet nevnte en utgangsadresse for en tillatelsesliste, bekreft den adressen også, for det er et annet faktum enn at tunnelen er oppe. En profil som autentiserer riktig og ikke ruter noe, har fortsatt feilet oppgaven den ble laget for.