Skupinové tajomstvo vpnc alebo vaše prihlásenie: ktoré pole čo berie?
Profil vpnc žiada skupinové ID, skupinové tajomstvo a prihlásenie XAuth a ľudia vkladajú heslo účtu do nesprávneho poľa. Priraďte každé pole podľa jeho roly.
Keď vám niekto prvý raz podá profil vpnc, dialóg s prihlasovacími údajmi sa pýta na štyri veci a číta sa, akoby chcel jedno heslo. Nechce: skupinové vopred zdieľané tajomstvo a individuálne prihlásenie XAuth sú oddelené hodnoty s oddelenými vlastníkmi a vloženie hesla účtu do skupinového poľa vyvolá zlyhanie, ktoré vyzerá ako zlé heslo, a nie ako nesprávne pole. Správne priradenie je celá úloha. Protokol pod tým je migračný projekt niekoho iného, a preto nič z toho nie je argument na stavbu nových tunelov IKEv1.
Dve tajomstvá, dvaja vlastníci, jeden dialóg
Skupinové tajomstvo patrí profilu brány. Každý, kto sa cez tento profil pripája, používa rovnakú hodnotu, a práve preto nemôže identifikovať osobu a nemožno ho odobrať jednému notebooku bez zmeny pre všetkých ostatných používateľov profilu. Používateľské meno a heslo XAuth naopak patria človeku a brána ich vyhodnocuje v druhej fáze, keď je asociácia IPsec už nadviazaná.
Práve túto dvojfázovú podobu ľudia prehliadajú. Nadviazanie tunela a autentizácia používateľa sú rôzne výmeny s rôznymi vstupmi, takže klient, ktorý sa nikdy nedostane k výzve na zadanie údajov, vôbec nezlyhal pri prihlásení. Čítajte dialóg ako dva stĺpce, nie jeden: hodnoty platné pre celý profil vľavo, osobné hodnoty vpravo. Keď spojenie zlyhá, stĺpec, ktorý ste vyplnili naposledy, nie je automaticky ten chybný.
Priraďte polia podľa roly, nie podľa popisu
vpnc pomenúva svoje direktívy v dokumentácii projektu a každé grafické rozhranie ich premenúva. Preložte rolu každej hodnoty a popisy prestanú mať význam:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Rozhranie, ktoré vedľa skupinového poľa zobrazuje „Používateľské meno“ a „Heslo“, nie je chybné — sú to tie isté tri hodnoty pod inými názvami. Rozbíja sa to, keď sa pole vyplní preto, že sa doň hodnota zmestí. Skupinové tajomstvo vložené ako používateľské heslo profil autentizuje a potom zlyhá vo fáze používateľa; heslo účtu vložené ako skupinové tajomstvo zlyhá skôr, pred akoukoľvek výzvou, a posiela ľudí hľadať problém do firewallov, hoci žije v textovom poli.
Čo skupinový identifikátor nie je
Slovo skupina zvádza k chybnému čítaniu. Skupinový identifikátor je tu selektor, ktorý bráne hovorí, ktorú konfiguráciu profilu použiť; o členstve v adresári nehovorí nič a zhodné meno na oboch stranách je náhoda, kým ho operátor nepotvrdí. Autorizácia prebieha po úspešnom XAuth, rozhoduje o nej to, na čo je brána nakonfigurovaná sa dopytovať, a nič z toho nie je vidieť v klientskom dialógu.
Rovnaká opatrnosť platí pre skupinové tajomstvo. Poznať ho nie je identita a zdieľanie jedného tajomstva v tíme je prevádzkové rozhodnutie s dôsledkami, ktoré vám klient nemôže zobraziť.
Vyriešte nejednoznačný pokyn pred pripojením
Poznámky pri odovzdaní staršieho systému často obsahujú riadok ako „použite vyhradenú verejnú IP“. Táto fráza môže znamenať adresu, z ktorej podľa zoznamu povolených na druhej strane má váš prenos prichádzať, čo je výstupná vlastnosť siete operátora a nemá nič spoločné s koncovým bodom, ktorý zadávate do poľa brány. Než hodnota niekam pôjde, spýtajte sa, ktoré z tých dvoch sa myslí. Vyplnená opačne posiela každý paket na adresu, ktorá nikdy neodpovedá, a výsledný časový limit vyzerá ako blokovaný port.
Požiadajte o štyri veci overeným kanálom organizácie: ktorý klient a protokol sú podporované, ktorý koncový bod použiť, akú identitu brána predloží a ako sa odovzdávajú prihlasovacie údaje. Skutočné tajomstvá držte mimo snímok obrazovky, tiketov a zdieľaných poznámok k riešeniu problémov. Nevypínajte kontroly certifikátov a nevkladajte starý zoznam šifier, aby inak nakonfigurovaná služba vyzerala kompatibilne, pretože spojenie, ktoré funguje len oslabením overenia, nie je spojenie, ktoré ste mali postaviť.
Udržujte starší profil čestný
IKEv1 je zastaraný a RFC 9395 je dokument, ktorý sa cituje, keď príde otázka migrácie. Úspešné priradenie polí nie je dôkaz, že protokol patrí do nového návrhu; kupuje funkčné spojenie, kým sa naplánuje náhrada, plus písomný rozsah a vlastníka tej migrácie.
Potom overujte proti požiadavke, nie proti dialógu. Po pripojení potvrďte, že rozhranie tunela má očakávanú adresu a že vnútorný cieľ sa smeruje cez neho; ak pôvodná požiadavka menovala výstupnú adresu pre zoznam povolených, potvrďte aj tú adresu, pretože je to iný fakt než to, že tunel beží. Profil, ktorý sa správne autentizuje a nič nesmeruje, napriek tomu nesplnil úlohu, pre ktorú vznikol.