Sekreti i grupit vpnc apo hyrja juaj: cila fushë merr çfarë?
Një profil vpnc kërkon ID grupi, sekret grupi dhe hyrje XAuth, dhe njerëzit e vendosin fjalëkalimin e llogarisë në kutinë e gabuar. Përputh çdo fushë sipas rolit të saj.
Herën e parë që dikush ju jep një profil vpnc, dialogu i kredencialeve pyet katër gjëra dhe lexohet sikur dëshiron një fjalëkalim të vetëm. Nuk dëshiron: sekreti i grupit i ndarë paraprakisht dhe hyrja individuale XAuth janë vlera të ndara me pronarë të ndarë, dhe vendosja e fjalëkalimit të llogarisë në fushën e grupit prodhon një dështim që duket si fjalëkalim i keq dhe jo si kuti e gabuar. Të bësh saktë këtë përputhje është e gjithë detyra këtu. Protokolli poshtë është projekti i migrimit i dikujt tjetër, prandaj asgjë nga kjo nuk është argument për të ndërtuar tunele të reja IKEv1.
Dy sekrete, dy pronarë, një dialog
Sekreti i grupit i përket profilit të portës. Të gjithë që lidhen përmes atij profili përdorin të njëjtën vlerë, dhe pikërisht për këtë nuk mund të identifikojë një person dhe nuk mund të tërhiqet nga një laptop pa e ndryshuar për të gjithë përdoruesit e tjerë të profilit. Emri i përdoruesit dhe fjalëkalimi XAuth i përkasin njeriut, dhe porta i vlerëson ato në një fazë të dytë, pasi shoqërimi IPsec është vendosur tashmë.
Është pikërisht kjo formë dyfazëshe që njerëzit e humbin. Vendosja e tunelit dhe vërtetimi i përdoruesit janë shkëmbime të ndryshme me hyrje të ndryshme, prandaj një klient që nuk arrin kurrë te kërkesa e kredencialeve nuk ka dështuar aspak në hyrje. Lexo dialogun si dy kolona dhe jo një: vlerat e profilit në të majtë, vlerat personale në të djathtë. Kur një lidhje dështon, kolona që plotësuat i fundit nuk është automatikisht kolona fajtore.
Përputh fushat sipas rolit, jo sipas etiketës
vpnc i emërton direktivat e tij në dokumentacionin e projektit, dhe çdo ndërfaqe grafike i riemërton ato. Përkthe rolin e çdo vlere dhe etiketat nuk kanë më rëndësi:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Një ndërfaqe që shfaq «Emri i përdoruesit» dhe «Fjalëkalimi» pranë një fushe grupi nuk është e gabuar — janë të njëjtat tre vlera me emra të ndryshëm. Ajo që prishet është plotësimi i një kutie sepse një vlerë përshtatet në të. Një sekret grupi i ngjitur si fjalëkalim përdoruesi vërteton profilin dhe më pas dështon në fazën e përdoruesit; një fjalëkalim llogarie i ngjitur si sekret grupi dështon më herët, përpara çdo kërkese, dhe i dërgon njerëzit të kërkojnë në mure zjarri një problem që jeton në një fushë teksti.
Çfarë nuk është identifikuesi i grupit
Fjala grup fton një lexim të gabuar. Identifikuesi i grupit këtu është një përzgjedhës që i thotë portës cilën konfigurim profili të zbatojë; nuk thotë asgjë për anëtarësimin në drejtori, dhe një emër që përputhet në të dyja anët është rastësi derisa operatori ta konfirmojë. Autorizimi ndodh pasi XAuth ka sukses, vendoset nga ajo me të cilën porta është konfiguruar të konsultohet, dhe asgjë nga kjo nuk është e dukshme në dialogun e klientit.
I njëjti kujdes vlen për sekretin e grupit. Ta njohësh nuk është identitet, dhe qarkullimi i një sekreti në një ekip është vendim operativ me pasoja që klienti nuk mund t'i tregojë.
Zgjidh udhëzimin e paqartë përpara lidhjes
Shënimet e dorëzimit të trashëguara shpesh përmbajnë një rresht si «përdor IP-në publike të dedikuar». Kjo frazë mund të nënkuptojë adresën nga e cila një listë lejimesh në anën tjetër pret që të mbërrijë trafiku juaj, kjo është veti dalëse e rrjetit të operatorit dhe nuk ka asnjë lidhje me pikën fundore që shkruani në fushën e portës. Pyet se cila nga të dyja nënkuptohet përpara se vlera të shkojë diku. E plotësuar mbrapsht, dërgon çdo paketë në një adresë që nuk përgjigjet kurrë, dhe koha e skadimit që rezulton lexohet si port i bllokuar.
Kërko katër gjëra përmes kanalit të verifikuar të organizatës: cili klient dhe protokoll mbështeten, cila pikë fundore të përdoret, çfarë identiteti do të paraqesë porta dhe si dorëzohen kredencialet. Mbaj sekretet e vërteta jashtë pamjeve të ekranit, tiketave dhe shënimeve të përbashkëta të zgjidhjes së problemeve. Mos çaktivizo kontrollet e certifikatës dhe mos ngjit një listë të vjetër shifrash për ta bërë një shërbim të konfiguruar ndryshe të duket i përputhshëm, sepse një lidhje që funksionon vetëm duke dobësuar verifikimin nuk është lidhja që ju kërkuan të ndërtoni.
Mbaj profilin e vjetër të sinqertë
IKEv1 është i vjetruar, dhe RFC 9395 është dokumenti që citohet kur shtrohet çështja e migrimit. Një përputhje e suksesshme e fushave nuk është provë që protokolli i përket një dizajni të ri; ajo blen një lidhje funksionale derisa zëvendësimi të planifikohet, plus një fushë të shkruar dhe një pronar për atë migrim.
Më pas verifiko kundrejt kërkesës dhe jo kundrejt dialogut. Pas lidhjes, konfirmo që ndërfaqja e tunelit ka adresën e pritur dhe që një destinacion i brendshëm rrugëtohet përmes saj; nëse kërkesa origjinale përmendte një adresë dalëse për një listë lejimesh, konfirmo edhe atë adresë, sepse është fakt i ndryshëm nga fakti që tuneli është lart. Një profil që vërtetohet saktë dhe nuk rrugëton asgjë ka dështuar përsëri detyrën për të cilën u krijua.