Bí mật nhóm vpnc hay đăng nhập của bạn: trường nào nhận cái gì?
Hồ sơ vpnc yêu cầu ID nhóm, bí mật nhóm và đăng nhập XAuth, và người ta đặt mật khẩu tài khoản vào nhầm ô. Hãy ánh xạ từng trường theo vai trò của nó.
Lần đầu ai đó đưa bạn một hồ sơ vpnc, hộp thoại thông tin đăng nhập hỏi bốn thứ và đọc như thể nó chỉ muốn một mật khẩu. Không phải vậy: bí mật nhóm được chia sẻ trước và đăng nhập XAuth cá nhân là hai giá trị riêng với chủ sở hữu riêng, và đặt mật khẩu tài khoản vào trường nhóm tạo ra lỗi trông như mật khẩu sai chứ không phải ô sai. Ánh xạ đúng chính là toàn bộ công việc ở đây. Giao thức bên dưới là dự án di trú của người khác, vì thế không điều nào trong số này là lý lẽ để xây đường hầm IKEv1 mới.
Hai bí mật, hai chủ sở hữu, một hộp thoại
Bí mật nhóm thuộc về hồ sơ cổng. Mọi người kết nối qua hồ sơ đó dùng cùng một giá trị, và chính vì thế nó không thể nhận diện một người và không thể bị thu hồi khỏi một máy tính xách tay mà không đổi cho tất cả người dùng khác của hồ sơ. Tên người dùng và mật khẩu XAuth thì thuộc về con người, và cổng đánh giá chúng ở giai đoạn thứ hai sau khi liên kết IPsec đã dựng lên.
Chính hình thức hai giai đoạn này là thứ người ta bỏ sót. Việc dựng đường hầm và xác thực người dùng là những trao đổi khác nhau với đầu vào khác nhau, nên một ứng dụng khách không bao giờ tới được lời nhắc thông tin đăng nhập thì hoàn toàn không thất bại ở bước đăng nhập. Hãy đọc hộp thoại như hai cột thay vì một: giá trị toàn hồ sơ bên trái, giá trị cá nhân bên phải. Khi kết nối thất bại, cột bạn điền gần nhất không tự động là cột có lỗi.
Ánh xạ các trường theo vai trò, không theo nhãn
vpnc đặt tên các chỉ thị trong tài liệu dự án, và mỗi giao diện đồ họa lại đổi tên chúng. Hãy dịch vai trò của từng giá trị, khi đó nhãn không còn quan trọng:
| Directive | What it carries | Who owns it |
|---|---|---|
| IPSec gateway | Address or hostname of the remote VPN endpoint | Operator |
| IPSec ID | Group identifier selecting the profile on that gateway | Operator |
| IPSec secret | Group preshared secret, not an account password | Profile, shared |
| Xauth username and password | Credentials for the per-user stage after the tunnel | Person |
Một giao diện hiển thị «Tên người dùng» và «Mật khẩu» bên cạnh trường nhóm không sai — đó là cùng ba giá trị dưới các tên khác nhau. Thứ bị phá vỡ là điền vào một ô vì một giá trị vừa khớp ở đó. Bí mật nhóm bị dán làm mật khẩu người dùng sẽ xác thực hồ sơ rồi thất bại ở giai đoạn người dùng; mật khẩu tài khoản bị dán làm bí mật nhóm thì thất bại sớm hơn, trước mọi lời nhắc, và khiến người ta đi tìm trong tường lửa một vấn đề nằm trong trường văn bản.
Định danh nhóm không phải là gì
Từ nhóm mời gọi một cách đọc sai. Định danh nhóm ở đây là một bộ chọn cho cổng biết cấu hình hồ sơ nào sẽ được áp dụng; nó không nói gì về tư cách thành viên thư mục, và một cái tên trùng khớp ở cả hai bên là sự trùng hợp cho tới khi người vận hành xác nhận. Việc cấp quyền diễn ra sau khi XAuth thành công, do thứ mà cổng được cấu hình để tham vấn quyết định, và không điều nào trong đó hiển thị trong hộp thoại của ứng dụng khách.
Sự thận trọng tương tự áp dụng cho bí mật nhóm. Biết nó không phải là danh tính, và luân chuyển một bí mật trong nhóm là một quyết định vận hành với những hệ quả mà ứng dụng khách không thể hiển thị cho bạn.
Gỡ rõ chỉ dẫn mơ hồ trước khi kết nối
Ghi chú bàn giao cũ thường có một dòng như «dùng IP công cộng chuyên dụng». Cụm từ đó có thể nghĩa là địa chỉ mà danh sách cho phép ở phía bên kia chờ lưu lượng của bạn tới từ đó, đây là thuộc tính đầu ra của mạng nhà vận hành và không liên quan gì tới điểm cuối bạn gõ vào trường cổng. Hãy hỏi ý nào trong hai ý trước khi giá trị đi bất cứ đâu. Điền ngược lại sẽ gửi mọi gói tin tới một địa chỉ không bao giờ trả lời, và thời gian chờ tạo ra trông như cổng bị chặn.
Hãy hỏi bốn điều qua kênh đã xác minh của tổ chức: ứng dụng khách và giao thức nào được hỗ trợ, dùng điểm cuối nào, cổng sẽ trình bày danh tính nào, và thông tin đăng nhập được bàn giao ra sao. Giữ bí mật thật ngoài ảnh chụp màn hình, phiếu và ghi chú khắc phục sự cố chia sẻ. Đừng tắt kiểm tra chứng chỉ và đừng dán danh sách mật mã cũ để một dịch vụ được cấu hình khác trông có vẻ tương thích, vì một kết nối chỉ chạy được bằng cách làm yếu xác minh không phải kết nối bạn được yêu cầu xây.
Giữ hồ sơ cũ trung thực
IKEv1 đã lỗi thời, và RFC 9395 là tài liệu cần trích dẫn khi câu hỏi di trú xuất hiện. Một ánh xạ trường thành công không phải bằng chứng rằng giao thức thuộc về một thiết kế mới; thứ nó mua là một kết nối hoạt động trong khi việc thay thế được lên lịch, cùng phạm vi bằng văn bản và một người chịu trách nhiệm cho việc di trú đó.
Sau đó hãy xác minh theo yêu cầu chứ không theo hộp thoại. Sau khi kết nối, xác nhận rằng giao diện đường hầm có địa chỉ mong đợi và một đích nội bộ được định tuyến qua nó; nếu yêu cầu ban đầu nêu một địa chỉ đầu ra cho danh sách cho phép, hãy xác nhận cả địa chỉ đó, vì đó là sự thật khác với việc đường hầm đang dựng. Một hồ sơ xác thực đúng và không định tuyến gì vẫn đã thất bại nhiệm vụ mà nó được tạo ra.