IKEv1, XAuth va OTP: har bir so'rov nimani so'raydi
Guruh PSK'si, foydalanuvchi XAuth almashinuvi va OTP sinovi uch xil kirishdir. Boshqa mijoz o'rnatishdan oldin har bir so'rovni egasiga moslang.
PSK, XAuth va OTP bilan IKEv1 bitta murakkab parolni so'ramaydi. U tengdoshlar orasidagi umumiy kalitni, foydalanuvchi almashinuvini va backend qanday so'rashni hal qiladigan ikkinchi omilni qatlamlaydi. Har bir qatlamning o'z egasi va o'z xato xabari bor. Ularni chalkashtirish odamlarni guruh sirini saqlaydigan maydonga bir martalik kodni qayta yozishga olib keladi.
Boshqa mijoz o'rnatish yoki hisob ma'lumotini tiklashdan oldin har bir so'rovni uni so'ragan qatlamga moslang.
Uch sir, uch ega
Oldindan ulashilgan kalit tengdoshlar munosabatiga tegishli va uni ikki uchni boshqaradigan kishi bir marta sozlaydi. Foydalanuvchi hisob ma'lumoti autentifikatsiya backendiga tegishli va har bir kirishda tekshiriladi. Ikkinchi omil javobi har urinishda o'zgaradigan token tizimiga tegishli. Hech biri boshqasining o'rnini bosmaydi va uchtasini bitta parol deb hisoblaydigan joriy etish hech kim hujjatlashtirmagan qatlamda muvaffaqiyatsizlikka uchraydi.
Uch ustun yozing: ega, amal qilish muddati va har biri ishlab chiqaradigan xato xabari. Diagnostika vositasi o'sha jadval, mijozdagi maydon nomlari emas.
| Layer | Owner | Lifetime |
|---|---|---|
| Pre-shared key | Peer configuration | Until operators change it |
| XAuth credential | Authentication backend | Per session, per policy |
| One-time code | Token system | Single use |
PSK: shaxsning emas, tengdoshning
Bu eski tartibda oldindan ulashilgan kalit shlyuz juftini autentifikatsiya qiladi, shuning uchun foydalanuvchi kirishi uni hech qachon almashtirmaydi. Bu shuningdek, so'rov o'rniga umumiy muzokara xatosini keltirib chiqaradigan tarzda eng ko'p xato bo'ladigan qiymatdir. Tunnel har qanday foydalanuvchi so'rovi paydo bo'lishidan oldin buzilsa, gumondorlar kalit yoki takliflardir.
Foydalanuvchi hisob ma'lumoti birinchi bosqich xatosini tuzata olmaydi. Uni almashtirish xavfsiz almashtirish mumkin bo'lgan yagona hisob ma'lumotini sarflaydi va noto'g'ri nazariyani mustahkamlaydi.
XAuth: eski foydalanuvchi almashinuvi
XAuth IKEv1 tengdosh autentifikatsiyasi ustiga foydalanuvchi autentifikatsiyasi almashinuvini qo'shadi va qaysi backend uni tekshirishini shlyuz hal qiladi. O'sha backendga qarab almashinuv katalog parolini, RADIUS hisob ma'lumotini yoki token javobini qabul qilishi mumkin. XAuth so'zi almashinuv transportini nomlaydi, hisob ma'lumoti turini emas.
Shlyuz profili qaysi backendga ishora qilishini tekshiring. Bu foydalanuvchidan nima so'ralishini va parolni tiklash aslida nimani o'zgartirishini aytadi va ikkalasi ham mijoz profilida ko'rinmaydi.
OTP: backend nima so'rasa
Ba'zi joriy etishlar paroldan keyin alohida bir martalik kod so'raydi, boshqalari hujjatlashtirilgan ajratgichli qo'shma kiritish formatini belgilaydi. Ikkalasi ham mavjud va oldingizdagi profil qaysi birini hal qiladi. Boshqa joyda ishlagani uchun ulash usulini o'ylab topish ro'yxatga olish tokenini yoqishning eng keng tarqalgan usuli. Buni faqat shlyuzning o'z hujjatlari hal qiladi.
Hujjatlashtirilgan formatni shlyuz taklif qiladigan almashinuvni yakunlay oladigan mijoz bilan ishlating.
Mijoz chegarasi qayerda tishlaydi
Fortinet FortiClient 7.4.4 va undan keyingi versiyalar IPsec VPN uchun IKEv1ni endi qo'llab-quvvatlamasligini hujjatlashtiradi; bu FortiClient muvofiqlik eslatmasi qayd etganidek umumiy olib tashlash emas, mahsulot va versiya chegarasidir. Boshqa mijozlar ham bir-birining o'rnini bosmaydi: OpenConnect va openfortivpn muayyan shlyuz protokollarini gapiradi, ixtiyoriy IKEv1 profillarini emas. O'rnatilgan mijozning IKE versiyasi, PSK rejimi, XAuth qo'llab-quvvatlashi va o'zaro ta'sir modelini alohida tekshiring. Boshqa usul bilan ulanadigan mijoz dastlabki talabni isbotlamagan.
IKEv1 eskirgan, shuning uchun qo'llab-quvvatlanmaydigan eski mijoz ustiga qurilgan yangi joriy etish qisqa umrli yechimdir. Shlyuz egasidan qo'llab-quvvatlanadigan migratsiya yo'lini so'rang, jumladan ikkinchi omil u yerda qanday hal qilinishi ham.
Omilni o'chirmasdan diagnostika qilish
Jurnalda bosqichlarni ajrating: tengdoshlar muzokarasi, foydalanuvchi almashinuvi, ikkinchi omil natijasi, so'ngra manzil va marshrut tayinlash. Kodni har bir maydonda sinash o'rniga komponent va bosqichni yozib qo'ying. Test o'tishi uchun omilni o'chirish joriy etish haqida hech narsani isbotlamaydigan tunnel hosil qiladi.
Ro'yxatga olish sirlarini va umumiy kalitni tashkilot jarayoniga muvofiq himoyalangan saqlashda saqlang. Doimiy fayldagi bir martalik kod endi omil bo'lishdan to'xtagan omildir.