Skupna skrivnost vpnc ali tvoja prijava: katero polje prevzame kaj?
Profil vpnc zahteva ID skupine, skupno skrivnost in prijavo XAuth, ljudje pa vstavijo geslo računa v napačno polje. Vsakemu polju dodeli njegovo vlogo.
Ko ti nekdo prvič izroči profil vpnc, pogovorno okno za poverilnice vpraša štiri stvari in se bere, kot da bi želelo eno geslo. Ne želi: vnaprej deljena skupna skrivnost in posamezna prijava XAuth sta ločeni vrednosti z ločenimi lastniki, vnos gesla računa v polje skupine pa povzroči napako, ki je videti kot slabo geslo in ne kot napačno polje. Pravilna razporeditev je vsa naloga tukaj. Protokol pod tem je projekt selitve nekoga drugega, zato nič od tega ni argument za gradnjo novih tunelov IKEv1.
Dve skrivnosti, dva lastnika, eno okno
Skupna skrivnost pripada profilu prehoda. Vsi, ki se povezujejo prek tega profila, uporabljajo isto vrednost, in prav zato ne more prepoznati osebe in je ni mogoče umakniti z enega prenosnika, ne da bi jo spremenili za vse druge uporabnike profila. Uporabniško ime in geslo XAuth pa pripadata človeku, prehod pa ju ovrednoti v drugi fazi, ko je povezava IPsec že vzpostavljena.
Prav to dvofazno obliko ljudje spregledajo. Vzpostavitev tunela in preverjanje pristnosti uporabnika sta različni izmenjavi z različnimi vhodi, zato odjemalec, ki nikoli ne pride do poziva za poverilnice, pri prijavi sploh ni spodletel. Pogovorno okno beri kot dva stolpca in ne enega: vrednosti na ravni profila levo, osebne vrednosti desno. Ko povezava spodleti, stolpec, ki si ga nazadnje izpolnil, ni samodejno kriv.
Polja razporedi po vlogi, ne po oznaki
vpnc svoje direktive poimenuje v projektni dokumentaciji, vsak grafični vmesnik pa jih preimenuje. Prevedi vlogo vsake vrednosti in oznake prenehajo biti pomembne:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Vmesnik, ki ob polju skupine prikazuje »Uporabniško ime« in »Geslo«, ni napačen — to so iste tri vrednosti pod drugimi imeni. Zlomi se, ko se polje izpolni zato, ker se vrednost vanj prilega. Skupna skrivnost, prilepljena kot uporabniško geslo, overi profil in nato spodleti v uporabniški fazi; geslo računa, prilepljeno kot skupna skrivnost, spodleti prej, pred vsakršnim pozivom, in pošlje ljudi iskat težavo v požarne zidove, čeprav ta živi v besedilnem polju.
Česa identifikator skupine ni
Beseda skupina vabi k napačnemu branju. Identifikator skupine je tukaj izbirnik, ki prehodu pove, katero konfiguracijo profila uporabiti; o članstvu v imeniku ne pove nič, ujemajoče se ime na obeh straneh pa je naključje, dokler ga operater ne potrdi. Avtorizacija se zgodi po uspešnem XAuth, odloči pa jo tisto, s čimer je prehod konfiguriran za posvetovanje, in nič od tega ni vidno v odjemalčevem oknu.
Enaka previdnost velja za skupno skrivnost. Poznati jo ni identiteta, kroženje ene skrivnosti po ekipi pa je operativna odločitev s posledicami, ki jih odjemalec ne more prikazati.
Razreši dvoumno navodilo pred povezavo
Zapisi o predaji starega sistema pogosto vsebujejo vrstico, kot je »uporabi namenski javni IP«. Ta besedna zveza lahko pomeni naslov, s katerega seznam dovoljenih na drugi strani pričakuje prihod tvojega prometa, to je izhodna lastnost operaterjevega omrežja in nima nič opraviti s končno točko, ki jo vpišeš v polje prehoda. Vprašaj, katera od obeh je mišljena, preden gre vrednost kamorkoli. Če je izpolnjena obratno, pošlje vsak paket na naslov, ki nikoli ne odgovori, in nastali časovni limit se bere kot blokirana vrata.
Zaprosi za štiri stvari po preverjenem kanalu organizacije: kateri odjemalec in protokol sta podprta, katero končno točko uporabiti, katero identiteto bo prehod predstavil in kako se poverilnice predajo. Prave skrivnosti hrani zunaj posnetkov zaslona, tiketov in skupnih zapiskov za odpravljanje težav. Ne izklopi preverjanja potrdil in ne prilepi starega seznama šifer, da bi bila drugače konfigurirana storitev videti združljiva, ker povezava, ki deluje samo z oslabitvijo preverjanja, ni povezava, ki so ti jo naročili zgraditi.
Ohrani stari profil pošten
IKEv1 je zastarel in RFC 9395 je dokument, ki ga navajaš, ko se pojavi vprašanje selitve. Uspešna razporeditev polj ni dokaz, da protokol sodi v novo zasnovo; kupi delujočo povezavo, dokler je zamenjava načrtovana, plus pisni obseg in lastnika te selitve.
Nato preveri glede na zahtevo in ne glede na pogovorno okno. Po povezavi potrdi, da ima vmesnik tunela pričakovani naslov in da se notranji cilj usmerja skozenj; če je prvotna zahteva navajala izhodni naslov za seznam dovoljenih, potrdi tudi ta naslov, ker je to drugo dejstvo kot to, da tunel deluje. Profil, ki se pravilno overi in ničesar ne usmerja, vseeno ni opravil naloge, za katero je bil ustvarjen.