vpnc grup sırrı mı yoksa girişiniz mi: hangi alan neyi alır?
Bir vpnc profili grup ID'si, grup sırrı ve XAuth girişi ister ve insanlar hesap parolasını yanlış kutuya koyar. Her alanı rolüne göre eşleyin.
Birisi size ilk kez bir vpnc profili verdiğinde, kimlik bilgileri iletişim kutusu dört şey sorar ve tek bir parola istiyormuş gibi okunur. İstemez: grup ön paylaşımlı sırrı ile bireysel XAuth girişi ayrı sahiplere sahip ayrı değerlerdir ve hesap parolasını grup alanına koymak, yanlış kutu gibi değil, kötü parola gibi görünen bir hataya yol açar. Bu eşlemeyi doğru yapmak buradaki işin tamamıdır. Altındaki protokol başkasının geçiş projesidir, bu yüzden bunların hiçbiri yeni IKEv1 tünelleri kurmak için argüman değildir.
İki sır, iki sahip, bir iletişim kutusu
Grup sırrı ağ geçidi profiline aittir. Bu profil üzerinden bağlanan herkes aynı değeri kullanır ve tam da bu yüzden bir kişiyi tanımlayamaz ve profilin diğer tüm kullanıcıları için değiştirilmeden tek bir dizüstü bilgisayardan geri alınamaz. XAuth kullanıcı adı ve parolası ise insana aittir ve ağ geçidi bunları IPsec ilişkisi zaten ayakta olduktan sonra ikinci aşamada değerlendirir.
İnsanların gözden kaçırdığı tam olarak bu iki aşamalı biçimdir. Tünel kurulumu ve kullanıcı kimlik doğrulaması farklı girdilerle farklı alışverişlerdir, bu yüzden kimlik bilgisi istemine hiç ulaşmayan bir istemci girişte hiç başarısız olmamıştır. İletişim kutusunu bir değil iki sütun olarak okuyun: solda profil çapında değerler, sağda kişisel değerler. Bir bağlantı başarısız olduğunda, en son doldurduğunuz sütun otomatik olarak suçlu sütun değildir.
Alanları role göre eşleyin, etikete göre değil
vpnc yönergelerini proje belgelerinde adlandırır ve her grafik arayüz bunları yeniden adlandırır. Her değerin rolünü çevirin, o zaman etiketler önemini yitirir:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Bir grup alanının yanında «Kullanıcı Adı» ve «Parola» gösteren bir arayüz yanlış değildir — bunlar farklı adlar altındaki aynı üç değerdir. Bozulan şey, bir değer içine sığdığı için kutunun doldurulmasıdır. Kullanıcı parolası olarak yapıştırılan grup sırrı profili doğrular ve sonra kullanıcı aşamasında başarısız olur; grup sırrı olarak yapıştırılan hesap parolası daha erken, herhangi bir istemden önce başarısız olur ve insanları metin alanında yaşayan bir sorun için güvenlik duvarlarına bakmaya gönderir.
Grup tanımlayıcısı ne değildir
Grup kelimesi yanlış bir okumaya davet eder. Buradaki grup tanımlayıcısı, ağ geçidine hangi profil yapılandırmasının uygulanacağını söyleyen bir seçicidir; dizin üyeliği hakkında hiçbir şey söylemez ve iki taraftaki eşleşen ad, operatör onaylayana kadar bir tesadüftür. Yetkilendirme XAuth başarılı olduktan sonra gerçekleşir, ağ geçidinin neye danışmak üzere yapılandırıldığı belirler ve bunların hiçbiri istemci iletişim kutusunda görünmez.
Aynı dikkat grup sırrı için de geçerlidir. Onu bilmek bir kimlik değildir ve tek bir sırrı ekip içinde dolaştırmak, istemcinin size gösteremeyeceği sonuçları olan operasyonel bir karardır.
Bağlanmadan önce belirsiz talimatı çözün
Eski devir notlarında sıklıkla «ayrılmış genel IP'yi kullanın» gibi bir satır bulunur. Bu ifade, karşı taraftaki izin listesinin trafiğinizin nereden gelmesini beklediği adresi kastediyor olabilir; bu, operatör ağının çıkış özelliğidir ve ağ geçidi alanına yazdığınız uç noktayla hiçbir ilgisi yoktur. Değer bir yere gitmeden önce ikisinden hangisinin kastedildiğini sorun. Ters doldurulursa her paketi asla yanıt vermeyen bir adrese gönderir ve ortaya çıkan zaman aşımı engellenmiş bir bağlantı noktası gibi okunur.
Kuruluşun doğrulanmış kanalı üzerinden dört şey isteyin: hangi istemci ve protokolün desteklendiği, hangi uç noktanın kullanılacağı, ağ geçidinin hangi kimliği sunacağı ve kimlik bilgilerinin nasıl teslim edildiği. Gerçek sırları ekran görüntülerinden, biletlerden ve paylaşılan sorun giderme notlarından uzak tutun. Sertifika denetimlerini devre dışı bırakmayın ve farklı yapılandırılmış bir hizmeti uyumlu göstermek için eski bir şifre listesi yapıştırmayın, çünkü yalnızca doğrulamayı zayıflatarak çalışan bağlantı, sizden kurmanız istenen bağlantı değildir.
Eski profili dürüst tutun
IKEv1 kullanımdan kalkmıştır ve RFC 9395, geçiş sorusu ortaya çıktığında atıf yapılacak belgedir. Başarılı alan eşlemesi, protokolün yeni bir tasarıma ait olduğunun kanıtı değildir; satın aldığı şey, değişim planlanana kadar çalışan bir bağlantı, artı yazılı kapsam ve o geçişin sahibidir.
Sonra iletişim kutusuna değil, gereksinime karşı doğrulayın. Bağlandıktan sonra tünel arayüzünün beklenen adrese sahip olduğunu ve iç hedefin onun üzerinden yönlendirildiğini onaylayın; özgün gereksinim bir izin listesi için çıkış adresi belirttiyse o adresi de onaylayın, çünkü bu tünelin ayakta olmasından farklı bir olgudur. Doğru kimlik doğrulayan ve hiçbir şey yönlendirmeyen bir profil, oluşturulduğu görevi yine de yerine getirmemiştir.