O segredo de grupo do vpnc ou o seu login: qual campo recebe o quê?

Na primeira vez que alguém lhe entrega um perfil vpnc, a caixa de credenciais pergunta quatro coisas e lê-se como se quisesse uma única palavra-passe. Não quer: o segredo de grupo partilhado antecipadamente e o login XAuth individual são valores separados com donos separados, e colocar a palavra-passe da conta no campo de grupo produz uma falha que parece uma palavra-passe errada e não uma caixa errada. Acertar neste mapeamento é toda a tarefa aqui. O protocolo por baixo é o projeto de migração de outra pessoa, por isso nada disto é argumento para construir novos túneis IKEv1.

Dois segredos, dois donos, uma caixa

O segredo de grupo pertence ao perfil da gateway. Todos os que se ligam através desse perfil usam o mesmo valor, e é exatamente por isso que não pode identificar uma pessoa nem pode ser retirado de um portátil sem ser alterado para todos os outros utilizadores do perfil. O nome de utilizador e a palavra-passe XAuth pertencem à pessoa, e a gateway avalia-os numa segunda fase, quando a associação IPsec já está estabelecida.

É esta forma em duas fases que as pessoas perdem. O estabelecimento do túnel e a autenticação do utilizador são trocas diferentes com entradas diferentes, por isso um cliente que nunca chega ao pedido de credenciais não falhou de todo no login. Leia a caixa como duas colunas em vez de uma: valores de todo o perfil à esquerda, valores pessoais à direita. Quando uma ligação falha, a coluna que preencheu por último não é automaticamente a culpada.

Mapeie os campos pela função, não pela etiqueta

O vpnc nomeia as suas diretivas na documentação do projeto, e cada interface gráfica renomeia-as. Traduza a função de cada valor e as etiquetas deixam de importar:

Uma interface que mostra «Nome de utilizador» e «Palavra-passe» ao lado de um campo de grupo não está errada — são os mesmos três valores com nomes diferentes. O que se quebra é preencher uma caixa porque um valor lá cabe. Um segredo de grupo colado como palavra-passe de utilizador autentica o perfil e depois falha na fase de utilizador; uma palavra-passe de conta colada como segredo de grupo falha mais cedo, antes de qualquer pedido, e manda as pessoas olhar para firewalls por um problema que vive num campo de texto.

O que um identificador de grupo não é

A palavra grupo convida a uma leitura errada. Um identificador de grupo aqui é um seletor que diz à gateway qual configuração de perfil aplicar; não diz nada sobre pertença ao diretório, e um nome coincidente dos dois lados é uma casualidade até o operador o confirmar. A autorização acontece depois de o XAuth ter êxito, decidida por aquilo com que a gateway está configurada para consultar, e nada disso é visível na caixa do cliente.

O mesmo cuidado aplica-se ao segredo de grupo. Conhecê-lo não é uma identidade, e fazer circular um único segredo por uma equipa é uma decisão operacional com consequências que o cliente não lhe pode mostrar.

Resolva a instrução ambígua antes de ligar

As notas de passagem herdadas contêm frequentemente uma linha como «use o IP público dedicado». Essa frase pode significar o endereço de onde uma lista de autorizações do outro lado espera que o seu tráfego chegue, o que é uma propriedade de saída da rede do operador e não tem nada a ver com o ponto final que escreve no campo da gateway. Pergunte qual dos dois está em causa antes de o valor ir a algum lado. Preenchida ao contrário, envia cada pacote para um endereço que nunca responde, e o tempo de espera resultante lê-se como uma porta bloqueada.

Peça quatro coisas pelo canal verificado da organização: que cliente e protocolo são suportados, que ponto final usar, que identidade a gateway apresentará e como são entregues as credenciais. Mantenha os segredos reais fora de capturas de ecrã, tickets e notas de resolução de problemas partilhadas. Não desative as verificações de certificados nem cole uma lista de cifras antiga para fazer um serviço configurado de outra forma parecer compatível, porque uma ligação que só funciona enfraquecendo a verificação não é a ligação que lhe pediram para construir.

Mantenha o perfil herdado honesto

O IKEv1 está obsoleto, e o RFC 9395 é o documento a citar quando surge a questão da migração. Um mapeamento de campos bem-sucedido não é prova de que o protocolo pertence a um novo desenho; o que compra é uma ligação funcional enquanto a substituição é planeada, mais um âmbito escrito e um responsável por essa migração.

Depois verifique contra o requisito e não contra a caixa. Após ligar, confirme que a interface do túnel tem o endereço esperado e que um destino interno é encaminhado por ela; se o requisito original nomeava um endereço de saída para uma lista de autorizações, confirme também esse endereço, porque é um facto diferente do túnel estar ativo. Um perfil que se autentica corretamente e não encaminha nada falhou ainda assim a tarefa para que foi criado.