ความลับกลุ่มของ vpnc หรือการเข้าสู่ระบบของคุณ: ช่องไหนรับอะไร?

ครั้งแรกที่ใครสักคนยื่นโปรไฟล์ vpnc ให้คุณ กล่องโต้ตอบข้อมูลรับรองถามสี่อย่างและอ่านเหมือนต้องการรหัสผ่านเพียงรหัสเดียว ไม่ใช่เช่นนั้น ความลับกลุ่มที่แชร์ไว้ล่วงหน้ากับการเข้าสู่ระบบ XAuth ส่วนบุคคลเป็นค่าที่แยกจากกันและมีเจ้าของแยกจากกัน การใส่รหัสผ่านบัญชีลงในช่องกลุ่มจึงให้ความล้มเหลวที่ดูเหมือนรหัสผ่านผิดมากกว่าช่องผิด การจับคู่ให้ถูกต้องคือทั้งหมดของงานนี้ โปรโตคอลที่อยู่ข้างใต้เป็นโครงการย้ายถิ่นของคนอื่น ด้วยเหตุนี้จึงไม่มีอะไรในนี้เป็นข้อโต้แย้งให้สร้างอุโมงค์ IKEv1 ใหม่

สองความลับ สองเจ้าของ กล่องโต้ตอบเดียว

ความลับกลุ่มเป็นของโปรไฟล์เกตเวย์ ทุกคนที่เชื่อมต่อผ่านโปรไฟล์นั้นใช้ค่าเดียวกัน และนั่นคือเหตุผลที่มันระบุตัวบุคคลไม่ได้และถอนคืนจากแล็ปท็อปเครื่องเดียวไม่ได้โดยไม่เปลี่ยนให้ผู้ใช้โปรไฟล์คนอื่นทั้งหมด ชื่อผู้ใช้และรหัสผ่าน XAuth เป็นของมนุษย์แทน และเกตเวย์ประเมินค่าเหล่านี้ในขั้นตอนที่สองหลังจากเชื่อมโยง IPsec ขึ้นแล้ว

คนมักมองข้ามรูปแบบสองขั้นตอนนี้ การสร้างอุโมงค์และการพิสูจน์ตัวตนผู้ใช้เป็นการแลกเปลี่ยนที่ต่างกันด้วยข้อมูลนำเข้าที่ต่างกัน ไคลเอนต์ที่ไม่เคยไปถึงพรอมต์ข้อมูลรับรองจึงไม่ได้ล้มเหลวในการเข้าสู่ระบบเลย อ่านกล่องโต้ตอบเป็นสองคอลัมน์ไม่ใช่คอลัมน์เดียว ค่าทั้งโปรไฟล์ทางซ้าย ค่าส่วนตัวทางขวา เมื่อการเชื่อมต่อล้มเหลว คอลัมน์ที่คุณกรอกล่าสุดไม่ใช่คอลัมน์ที่ผิดโดยอัตโนมัติ

จับคู่ช่องตามบทบาท ไม่ใช่ตามป้ายกำกับ

vpnc ตั้งชื่อคำสั่งในเอกสารโครงการ และส่วนหน้าภาพทุกตัวเปลี่ยนชื่อให้ แปลบทบาทของแต่ละค่า แล้วป้ายกำกับก็ไม่สำคัญอีกต่อไป

ส่วนหน้าที่แสดง «ชื่อผู้ใช้» และ «รหัสผ่าน» ข้างช่องกลุ่มไม่ผิด — เป็นค่าสามค่าที่มีชื่อต่างกัน สิ่งที่พังคือการกรอกช่องเพราะค่าใส่ลงไปได้ ความลับกลุ่มที่วางเป็นรหัสผ่านผู้ใช้จะพิสูจน์ตัวตนโปรไฟล์แล้วล้มเหลวในขั้นตอนผู้ใช้ รหัสผ่านบัญชีที่วางเป็นความลับกลุ่มจะล้มเหลวก่อนหน้านั้น ก่อนคำขอใด ๆ และส่งคนไปค้นหาไฟร์วอลล์สำหรับปัญหาที่อาศัยอยู่ในช่องข้อความ

สิ่งที่ตัวระบุกลุ่มไม่ใช่

คำว่ากลุ่มชวนให้อ่านผิด ตัวระบุกลุ่มที่นี่คือตัวเลือกที่บอกเกตเวย์ว่าจะใช้การกำหนดค่าโปรไฟล์ใด มันไม่บอกอะไรเกี่ยวกับสมาชิกภาพในไดเรกทอรี และชื่อที่ตรงกันทั้งสองด้านเป็นเรื่องบังเอิญจนกว่าผู้ดูแลจะยืนยัน การอนุญาตเกิดขึ้นหลัง XAuth สำเร็จ ตัดสินโดยสิ่งที่เกตเวย์ถูกกำหนดค่าให้ปรึกษา และไม่มีสิ่งใดในนั้นมองเห็นได้ในกล่องโต้ตอบของไคลเอนต์

ความระมัดระวังเดียวกันใช้กับความลับกลุ่ม การรู้มันไม่ใช่ตัวตน และการหมุนเวียนความลับเดียวในทีมเป็นการตัดสินใจเชิงปฏิบัติการที่มีผลที่ไคลเอนต์แสดงให้คุณไม่ได้

แก้คำแนะนำที่กำกวมก่อนเชื่อมต่อ

บันทึกการส่งมอบแบบเก่ามักมีบรรทัดเช่น «ใช้ IP สาธารณะเฉพาะ» วลีนั้นอาจหมายถึงที่อยู่ที่รายการอนุญาตฝั่งตรงข้ามคาดว่าทราฟฟิกของคุณจะมาจาก ซึ่งเป็นคุณสมบัติขาออกของเครือข่ายผู้ให้บริการและไม่เกี่ยวข้องกับปลายทางที่คุณพิมพ์ในช่องเกตเวย์ ถามว่าหมายถึงอันไหนก่อนที่ค่าจะไปที่ใด ๆ หากกรอกกลับกัน มันจะส่งทุกแพ็กเก็ตไปยังที่อยู่ที่ไม่ตอบกลับเลย และการหมดเวลาที่ได้จะอ่านเหมือนพอร์ตที่ถูกบล็อก

ขอสี่อย่างผ่านช่องทางที่ตรวจสอบแล้วขององค์กร ไคลเอนต์และโปรโตคอลใดที่รองรับ จะใช้ปลายทางใด เกตเวย์จะแสดงตัวตนใด และข้อมูลรับรองถูกส่งมอบอย่างไร เก็บความลับจริงออกจากภาพหน้าจอ ตั๋ว และบันทึกการแก้ปัญหาที่แชร์กัน อย่าปิดการตรวจสอบใบรับรองและอย่าวางรายการรหัสลับเก่าเพื่อให้บริการที่กำหนดค่าไว้ต่างกันดูเข้ากันได้ เพราะการเชื่อมต่อที่ทำงานได้เพียงโดยทำให้การตรวจสอบอ่อนลงไม่ใช่การเชื่อมต่อที่คุณถูกขอให้สร้าง

รักษาโปรไฟล์เก่าให้ซื่อสัตย์

IKEv1 เลิกใช้แล้ว และ RFC 9395 คือเอกสารที่ควรอ้างอิงเมื่อคำถามเรื่องการย้ายถิ่นเกิดขึ้น การจับคู่ช่องที่สำเร็จไม่ใช่หลักฐานว่าโปรโตคอลนี้อยู่ในดีไซน์ใหม่ สิ่งที่มันซื้อคือการเชื่อมต่อที่ใช้งานได้ระหว่างรอการเปลี่ยนแปลงที่วางแผนไว้ พร้อมขอบเขตที่เป็นลายลักษณ์อักษรและเจ้าของการย้ายถิ่นนั้น

จากนั้นตรวจสอบกับข้อกำหนดไม่ใช่กับกล่องโต้ตอบ หลังเชื่อมต่อ ยืนยันว่าอินเทอร์เฟซอุโมงค์มีที่อยู่ที่คาดไว้และปลายทางภายในถูกกำหนดเส้นทางผ่านมัน หากข้อกำหนดเดิมระบุที่อยู่ขาออกสำหรับรายการอนุญาต ให้ยืนยันที่อยู่นั้นด้วย เพราะเป็นข้อเท็จจริงที่ต่างจากอุโมงค์ที่ขึ้นแล้ว โปรไฟล์ที่พิสูจน์ตัวตนได้ถูกต้องและไม่ได้กำหนดเส้นทางใด ๆ ก็ยังล้มเหลวในงานที่สร้างขึ้นมาเพื่อมัน