Групна тајна vpnc или ваша пријава: које поље шта прима?
Профил vpnc тражи групни ID, групну тајну и XAuth пријаву, а људи убацују лозинку налога у погрешно поље. Доделите свако поље његовој улози.
Када вам неко први пут преда vpnc профил, дијалог за акредитиве пита четири ствари и чита се као да жели једну лозинку. Не жели: групна унапред подељена тајна и појединачна XAuth пријава су одвојене вредности са одвојеним власницима, а стављање лозинке налога у групно поље даје грешку која изгледа као лоша лозинка, а не као погрешно поље. Исправно додељивање је цео задатак овде. Протокол испод је туђи пројекат миграције, зато ништа од овога није аргумент за градњу нових IKEv1 тунела.
Две тајне, два власника, један дијалог
Групна тајна припада профилу мрежног пролаза. Сви који се повезују преко тог профила користе исту вредност, и управо зато она не може да идентификује особу и не може се повући са једног преносног рачунара без промене за све остале кориснике профила. XAuth корисничко име и лозинка припадају човеку, а пролаз их проверава у другој фази, када је IPsec асоцијација већ успостављена.
Људи пропуштају управо овај двофазни облик. Успостављање тунела и аутентификација корисника су различите размене са различитим улазима, па клијент који никада не дође до захтева за акредитиве уопште није пао на пријави. Читајте дијалог као две колоне, а не једну: вредности на нивоу профила лево, личне вредности десно. Када веза падне, колона коју сте последњу попунили није аутоматски крива.
Доделите поља по улози, не по ознаци
vpnc именује своје директиве у пројектној документацији, а сваки графички интерфејс их преименује. Преведите улогу сваке вредности и ознаке престају да буду важне:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Интерфејс који поред групног поља приказује „Корисничко име“ и „Лозинку“ није погрешан — то су исте три вредности под различитим именима. Квари се попуњавање поља зато што вредност у њега стане. Групна тајна залепљена као корисничка лозинка аутентификује профил и затим пада у фази корисника; лозинка налога залепљена као групна тајна пада раније, пре било каквог захтева, и шаље људе да траже проблем у заштитним зидовима, иако он живи у текстуалном пољу.
Шта групни идентификатор није
Реч група наводи на погрешно читање. Групни идентификатор овде је селектор који пролазу каже коју конфигурацију профила применити; он не говори ништа о чланству у директоријуму, а подударно име на обе стране је случајност док га оператер не потврди. Ауторизација се дешава после успешног XAuth, одлучује је оно са чиме је пролаз конфигурисан да се консултује, и ништа од тога није видљиво у клијентском дијалогу.
Исто упозорење важи за групну тајну. Знати је није идентитет, а кружење једне тајне по тиму је оперативна одлука са последицама које вам клијент не може приказати.
Разрешите двосмислену инструкцију пре повезивања
Белешке о примопредаји наследства често садрже ред попут „користите наменски јавни IP“. Та фраза може значити адресу са које списак дозвола на другој страни очекује долазак вашег саобраћаја, то је излазно својство мреже оператера и нема везе са крајњом тачком коју уписујете у поље пролаза. Питајте која се од две мисли пре него што вредност било где оде. Попуњена обрнуто, шаље сваки пакет на адресу која никада не одговара, а резултујући тајмаут изгледа као блокиран порт.
Затражите четири ствари преко верификованог канала организације: који су клијент и протокол подржани, коју крајњу тачку користити, који ће идентитет пролаз представити и како се предају акредитиви. Држите праве тајне изван снимака екрана, тикета и заједничких белешки за решавање проблема. Не искључујте провере сертификата и не лепите стари списак шифара да би другачије конфигурисана услуга изгледала компатибилна, јер веза која ради само слабљењем провере није веза коју су вам тражили да изградите.
Чувајте наследни профил искреним
IKEv1 је застарео, а RFC 9395 је документ који се цитира када се појави питање миграције. Успешно додељивање поља није доказ да протокол припада новом дизајну; оно купује радну везу док се замена не закаже, плус писани обим и власника те миграције.
Затим проверите према захтеву, а не према дијалогу. Након повезивања потврдите да интерфејс тунела има очекивану адресу и да се унутрашње одредиште усмерава кроз њега; ако је првобитни захтев именовао излазну адресу за списак дозвола, потврдите и ту адресу, јер је то друга чињеница од тога да је тунел подигнут. Профил који се исправно аутентификује и ништа не усмерава ипак није извршио задатак због којег је створен.