Secretul de grup vpnc sau autentificarea ta: ce câmp primește ce?
Un profil vpnc cere un ID de grup, un secret de grup și o autentificare XAuth, iar oamenii pun parola contului în caseta greșită. Asociază fiecare câmp cu rolul său.
Prima dată când cineva îți dă un profil vpnc, dialogul de credențiale întreabă patru lucruri și se citește ca și cum ar vrea o singură parolă. Nu vrea: secretul de grup partajat în prealabil și autentificarea XAuth individuală sunt valori separate cu proprietari separați, iar punerea parolei contului în câmpul de grup produce o eroare care arată ca o parolă greșită și nu ca o casetă greșită. Asocierea corectă este toată sarcina aici. Protocolul de dedesubt este proiectul de migrare al altcuiva, de aceea nimic din toate acestea nu este un argument pentru a construi tuneluri IKEv1 noi.
Două secrete, doi proprietari, un dialog
Secretul de grup aparține profilului gateway-ului. Toți cei care se conectează prin acel profil folosesc aceeași valoare, și exact de aceea nu poate identifica o persoană și nu poate fi retras de la un singur laptop fără a fi schimbat pentru toți ceilalți utilizatori ai profilului. Numele de utilizator și parola XAuth aparțin în schimb omului, iar gateway-ul le evaluează într-o a doua etapă, după ce asocierea IPsec este deja stabilită.
Această formă în două etape este ceea ce oamenii ratează. Stabilirea tunelului și autentificarea utilizatorului sunt schimburi diferite cu intrări diferite, așa că un client care nu ajunge niciodată la solicitarea credențialelor nu a eșuat deloc la autentificare. Citește dialogul ca două coloane, nu una: valori la nivel de profil în stânga, valori personale în dreapta. Când o conexiune eșuează, coloana completată ultima nu este automat cea vinovată.
Asociază câmpurile după rol, nu după etichetă
vpnc își numește directivele în documentația proiectului, iar fiecare interfață grafică le redenumește. Tradu rolul fiecărei valori și etichetele nu mai contează:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
O interfață care afișează «Nume de utilizator» și «Parolă» lângă un câmp de grup nu este greșită — sunt aceleași trei valori sub nume diferite. Ceea ce se strică este să completezi o casetă pentru că o valoare încape în ea. Un secret de grup lipit ca parolă de utilizator autentifică profilul și apoi eșuează în etapa de utilizator; o parolă de cont lipită ca secret de grup eșuează mai devreme, înainte de orice solicitare, și trimite oamenii să caute în firewall-uri o problemă care trăiește într-un câmp de text.
Ce nu este un identificator de grup
Cuvântul grup invită la o citire greșită. Un identificator de grup aici este un selector care îi spune gateway-ului ce configurație de profil să aplice; nu spune nimic despre apartenența la director, iar un nume identic pe ambele părți este o coincidență până când operatorul îl confirmă. Autorizarea are loc după ce XAuth reușește, decisă de ceea ce gateway-ul este configurat să consulte, și nimic din toate acestea nu este vizibil în dialogul clientului.
Aceeași prudență se aplică secretului de grup. A-l cunoaște nu este o identitate, iar circularea unui singur secret într-o echipă este o decizie operațională cu consecințe pe care clientul nu ți le poate arăta.
Lămurește instrucțiunea ambiguă înainte de conectare
Notele de predare moștenite conțin adesea o linie de tipul «folosește IP-ul public dedicat». Acea expresie poate însemna adresa de la care o listă de permisiuni din partea cealaltă așteaptă să ajungă traficul tău, ceea ce este o proprietate de ieșire a rețelei operatorului și nu are nicio legătură cu punctul final pe care îl tastezi în câmpul gateway-ului. Întreabă care dintre cele două este vizată înainte ca valoarea să ajungă undeva. Completată invers, trimite fiecare pachet către o adresă care nu răspunde niciodată, iar expirarea rezultată se citește ca un port blocat.
Cere patru lucruri prin canalul verificat al organizației: ce client și protocol sunt acceptate, ce punct final să folosești, ce identitate va prezenta gateway-ul și cum sunt predate credențialele. Ține secretele reale în afara capturilor de ecran, a tichetelor și a notițelor partajate de depanare. Nu dezactiva verificările certificatelor și nu lipi o listă veche de cifruri pentru ca un serviciu configurat altfel să pară compatibil, pentru că o conexiune care funcționează doar slăbind verificarea nu este conexiunea pe care ai fost rugat să o construiești.
Păstrează profilul vechi onest
IKEv1 este depășit, iar RFC 9395 este documentul de citat atunci când apare întrebarea migrării. O asociere reușită a câmpurilor nu este dovada că protocolul aparține unui design nou; ceea ce cumpără este o conexiune funcțională cât timp înlocuirea este planificată, plus un domeniu scris și un proprietar pentru acea migrare.
Apoi verifică față de cerință și nu față de dialog. După conectare, confirmă că interfața tunelului are adresa așteptată și că o destinație internă este rutată prin ea; dacă cerința inițială numea o adresă de ieșire pentru o listă de permisiuni, confirmă și acea adresă, pentru că este un fapt diferit de faptul că tunelul este activ. Un profil care se autentifică corect și nu rutează nimic a eșuat totuși sarcina pentru care a fost creat.