IKEv1 s XAuth a OTP: čo žiada každá výzva

IKEv1 s PSK, XAuth a OTP nežiada jedno zložité heslo. Vrství zdieľaný kľúč medzi peermi, používateľskú výmenu a druhý faktor, ktorého spôsob vyžiadania určuje backend. Každá vrstva má svojho vlastníka a svoju chybovú správu. Ich zámena vedie k tomu, že ľudia znova zadajú jednorazový kód do poľa, ktoré ukladá skupinové tajomstvo.

Priraďte každú výzvu k vrstve, ktorá ju žiada, skôr než nainštalujete iného klienta alebo resetujete prihlasovací údaj.

Tri tajomstvá, traja vlastníci

Zdieľaný kľúč patrí vzťahu medzi peermi a konfiguruje ho raz ten, kto spravuje oba konce. Prihlasovací údaj používateľa patrí autentifikačnému backendu a overuje sa pri každom prihlásení. Druhý faktor patrí tokenovému systému, ktorého odpoveď sa mení pri každom pokuse. Žiadny nenahrádza iný a nasadenie, ktoré ich považuje za jedno heslo, zlyhá na vrstve, ktorú nikto nezdokumentoval.

Zapíšte tri stĺpce: vlastník, životnosť a chybová správa, ktorú každý vytvára. Diagnostickým nástrojom je tá tabuľka, nie názvy polí v klientovi.

PSK: peera, nie osoby

V tomto starom usporiadaní zdieľaný kľúč autentifikuje pár brán, takže prihlásenie používateľa ho nikdy nenahradí. Je to tiež hodnota, ktorá sa najčastejšie mýli spôsobom, ktorý vytvára všeobecnú chybu vyjednávania namiesto výzvy. Keď tunel zlyhá skôr, než sa objaví akákoľvek výzva používateľa, podozrivými sú kľúč alebo návrhy.

Prihlasovací údaj používateľa neopraví zlyhanie prvej fázy. Jeho rotácia premrhá jediný údaj, ktorý môžete bezpečne rotovať, a posilní nesprávnu teóriu.

XAuth: stará používateľská výmena

XAuth pridáva výmenu autentifikácie používateľa nad autentifikáciu peera v IKEv1 a brána rozhoduje, ktorý backend ju overí. V závislosti od tohto backendu môže výmena prijať heslo adresára, údaj RADIUS alebo odpoveď tokenu. Slovo XAuth pomenúva transport výmeny, nie typ údaja.

Skontrolujte, na ktorý backend ukazuje profil brány. To hovorí, čo sa bude od používateľa žiadať a čo reset hesla skutočne zmení, a ani jedno nie je vidieť v profile klienta.

OTP: čokoľvek si vyžiada backend

Niektoré nasadenia žiadajú po hesle samostatný jednorazový kód, iné definujú kombinovaný vstupný formát so zdokumentovaným oddeľovačom. Existujú oba a profil pred vami rozhoduje, ktorý. Vymýšľať zreťazenie preto, že inde fungovalo, je najčastejší spôsob, ako spáliť registračný token. Rozhoduje o tom iba dokumentácia samotnej brány.

Použite zdokumentovaný formát s klientom, ktorý dokáže dokončiť výmenu, ktorú brána ponúka.

Kde hryzie hranica klienta

Fortinet dokumentuje, že FortiClient 7.4.4 a novší už nepodporujú IKEv1 pre IPsec VPN, čo je hranica produktu a verzie, nie plošné odstránenie, ako uvádza poznámka o kompatibilite FortiClient. Ani iní klienti nie sú zameniteľní: OpenConnect a openfortivpn hovoria konkrétnymi protokolmi brán, nie ľubovoľnými profilmi IKEv1. Skontrolujte jednotlivo verziu IKE, režim PSK, podporu XAuth a model interakcie nainštalovaného klienta. Klient, ktorý sa pripája inou metódou, nepreukázal pôvodnú požiadavku.

IKEv1 je zastaraný, takže nové zavedenie postavené na nepodporovanom starom klientovi je krátkodobé riešenie. Požiadajte vlastníka brány o podporovanú migračnú cestu vrátane toho, ako sa tam bude spracúvať druhý faktor.

Diagnostika bez vypnutia faktora

Oddeľte v logu fázy: vyjednávanie peerov, používateľskú výmenu, výsledok druhého faktora, potom pridelenie adresy a trasy. Zapisujte komponent a fázu namiesto skúšania kódu v každom poli. Vypnutie faktora, aby test prešiel, vytvorí tunel, ktorý o nasadení nič nepreukazuje.

Uchovávajte registračné tajomstvá a zdieľaný kľúč v chránenom úložisku podľa procesu organizácie. Jednorazový kód v trvalom súbore je faktor, ktorý prestal byť faktorom.