vpnc guruh sirimi yoki sizning kirishingiz: qaysi maydon nimani oladi?
vpnc profili guruh ID, guruh siri va XAuth kirishini so'raydi, odamlar esa hisob parolini noto'g'ri katakka qo'yadi. Har bir maydonni roliga moslang.
Kimdir sizga birinchi marta vpnc profili berganda, hisob ma'lumotlari oynasi to'rt narsani so'raydi va faqat bitta parol istagandek o'qiladi. Unday emas: guruhning oldindan bo'lishilgan siri va individual XAuth kirishi alohida egalarga ega alohida qiymatlar, hisob parolini guruh maydoniga qo'yish esa noto'g'ri katak emas, yomon parolga o'xshab ko'rinadigan xatoga olib keladi. Bu moslikni to'g'ri qurish — bu yerdagi butun ish. Ostidagi protokol boshqa birovning ko'chirish loyihasi, shuning uchun bularning hech biri yangi IKEv1 tunnellar qurish uchun dalil emas.
Ikki sir, ikki ega, bitta oyna
Guruh siri shlyuz profiliga tegishli. Shu profil orqali ulanadigan har kim bir xil qiymatdan foydalanadi, shuning uchun u shaxsni aniqlay olmaydi va profilning qolgan barcha foydalanuvchilari uchun o'zgartirmasdan bitta noutbukdan qaytarib olinmaydi. XAuth foydalanuvchi nomi va paroli esa insonga tegishli, shlyuz ularni IPsec aloqasi allaqachon o'rnatilgandan keyin ikkinchi bosqichda baholaydi.
Odamlar aynan shu ikki bosqichli shaklni o'tkazib yuboradi. Tunnel qurish va foydalanuvchini autentifikatsiya qilish turli kirishlarga ega turli almashinuvlardir, shuning uchun hisob ma'lumotlari so'roviga hech qachon yetib bormaydigan mijoz kirishda umuman muvaffaqiyatsizlikka uchramagan. Oynani bitta emas, ikkita ustun sifatida o'qing: chapda profil bo'yicha qiymatlar, o'ngda shaxsiy qiymatlar. Ulanish muvaffaqiyatsiz bo'lsa, oxirgi to'ldirgan ustuningiz avtomatik ravishda aybdor ustun emas.
Maydonlarni rolga ko'ra moslang, yorliqqa ko'ra emas
vpnc o'z direktivalarini loyiha hujjatlarida nomlaydi, har bir grafik interfeys esa ularni qayta nomlaydi. Har bir qiymatning rolini tarjima qiling, shunda yorliqlar ahamiyatini yo'qotadi:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Guruh maydoni yonida «Foydalanuvchi nomi» va «Parol» ko'rsatadigan interfeys noto'g'ri emas — bu turli nomlar ostidagi o'sha uchta qiymat. Buziladigan narsa — qiymat ichiga sig'gani uchun katakni to'ldirish. Foydalanuvchi paroli sifatida qo'yilgan guruh siri profilni autentifikatsiya qiladi va keyin foydalanuvchi bosqichida muvaffaqiyatsiz bo'ladi; guruh siri sifatida qo'yilgan hisob paroli ertaroq, har qanday so'rovdan oldin muvaffaqiyatsiz bo'ladi va odamlarni matn maydonida yashaydigan muammoni o't o'chirgichlardan qidirishga yuboradi.
Guruh identifikatori nima emas
Guruh so'zi noto'g'ri o'qishga chorlaydi. Bu yerdagi guruh identifikatori shlyuzga qaysi profil konfiguratsiyasini qo'llashni aytadigan tanlagich; u katalog a'zoligi haqida hech narsa demaydi, ikki tomondagi mos ism esa operator tasdiqlamaguncha tasodif. Avtorizatsiya XAuth muvaffaqiyatli bo'lgandan keyin sodir bo'ladi, uni shlyuz nima bilan maslahatlashishga sozlangan bo'lsa, o'sha hal qiladi va bularning hech biri mijoz oynasida ko'rinmaydi.
Xuddi shu ehtiyotkorlik guruh siriga ham tegishli. Uni bilish shaxsiyat emas, bitta sirni jamoa ichida aylantirish esa mijoz sizga ko'rsata olmaydigan oqibatlarga ega operatsion qaror.
Ulanishdan oldin noaniq ko'rsatmani hal qiling
Eski topshirish yozuvlarida ko'pincha «ajratilgan ommaviy IP dan foydalaning» kabi satr bo'ladi. Bu ibora qarshi tomondagi ruxsatlar ro'yxati sizning trafikingiz qayerdan kelishini kutadigan manzilni anglatishi mumkin, bu operator tarmog'ining chiqish xususiyati va shlyuz maydoniga yozadigan yakuniy nuqta bilan hech qanday aloqasi yo'q. Qiymat biror joyga ketishidan oldin ikkisidan qaysi biri nazarda tutilganini so'rang. Teskari to'ldirilsa, u har bir paketni hech qachon javob bermaydigan manzilga yuboradi va natijada yuzaga keladigan kutish vaqti bloklangan port kabi o'qiladi.
Tashkilotning tasdiqlangan kanali orqali to'rt narsani so'rang: qaysi mijoz va protokol qo'llab-quvvatlanadi, qaysi yakuniy nuqta ishlatiladi, shlyuz qanday shaxsni taqdim etadi va hisob ma'lumotlari qanday topshiriladi. Haqiqiy sirlarni ekran suratlari, chiptalar va umumiy muammo hal qilish yozuvlaridan tashqarida saqlang. Sertifikat tekshiruvlarini o'chirmang va boshqacha sozlangan xizmat mos ko'rinishi uchun eski shifrlar ro'yxatini yopishtirmang, chunki faqat tekshiruvni zaiflashtirib ishlaydigan ulanish — sizdan qurish so'ralgan ulanish emas.
Eski profilni halol saqlang
IKEv1 eskirgan, RFC 9395 esa ko'chirish savoli tug'ilganda iqtibos keltiriladigan hujjat. Muvaffaqiyatli maydon mosligi protokol yangi dizaynga tegishli ekaniga dalil emas; u almashtirish rejalashtirilguncha ishlaydigan ulanishni, qo'shimcha yozma qamrov va o'sha ko'chirish egasini sotib oladi.
Keyin oynaga emas, talabga qarshi tekshiring. Ulangandan keyin tunnel interfeysi kutilgan manzilga egaligini va ichki manzil u orqali marshrutlanishini tasdiqlang; agar dastlabki talabda ruxsatlar ro'yxati uchun chiqish manzili nomlangan bo'lsa, o'sha manzilni ham tasdiqlang, chunki bu tunnel turganidan boshqa fakt. To'g'ri autentifikatsiya qiladigan va hech narsani marshrutlamaydigan profil baribir yaratilgan vazifani bajarmagan.