IKE kimliyi yoxsa son nöqtə ünvanı: onları qarışdırmayın
FQDN tipli IKE kimliyi hərfi autentifikasiya dəyəridir, tərs DNS axtarışı deyil. Son nöqtə ünvanını, yerli kimliyi və gözlənilən peer-i ayrı saxlayın.
FQDN kimliyi kimi etiketlənmiş sahəni hərfi sətir kimi oxuyun, özəl ünvanınızın tərs DNS adı üçün sorğu kimi deyil. strongSwan analizatorunda bu elə həmin şeydir, sətir, və onu oxumaq heç vaxt son nöqtəyə çevirmir. Tək bu fakt peer üçün identifikator seçərkən ən çox yayılmış yayınmanı aradan qaldırır. Aşağıdakı yoxlamalar iştirak edən üç dəyərin birinə qovuşmasının qarşısını alır.
Etiket axtarış deyil
Satıcıların interfeysləri FQDN və hostname kimi sözləri sərbəst işlədir, qutudakı etiket isə onun arxasındakı kodlaşma haqqında heç nə demir. Sahəni Client FQDN adlandıran cihaz FQDN, e-poçt formalı sətir və ya çılpaq ünvan göndərə bilər. Mətni və tipi iki ayrı qərar kimi qəbul edin və hər ikisini qeyd edin.
Hərfi kimlikdə heç nə DNS tələb etmir. Bu, qarşı tərəfin yoxladığı iddiadır, şəbəkənin həll etməli olduğu ad deyil.
Üç ayrı dəyər, ayrı-ayrı yazılmış
Bir konfiqurasiya ekranının arxasında üç iş dayanır və onları birləşdirmək bahalı səhvdir. Bir dəyər paketlərin hara getdiyini müəyyən edən son nöqtə ünvanıdır. Digəri bu peer-in təqdim etdiyi yerli kimlikdir, üçüncüsü isə onu autentifikasiya etməzdən əvvəl uzaq tərəfdən gözlədiyiniz kimlikdir. Onları dəyişiklik bileti sətrində üç sətir kimi yazın, çünki bundan azı münasibət deyil, VPN təsvir edir.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Nümunə kimliklər yerləşdirmənin bir hissəsi kimi seçilməli və səlahiyyətləndirilməlidir. Onlar autentifikasiyanın yoxladığı iddialardır, hər hansı peer-i etibarlı edən etimadnamə deyil, ona görə də inandırıcı görünən sətir heç nəyi səlahiyyətləndirmir.
Tip dəyərin bir hissəsidir
strongSwan kimlik arayışı FQDN, e-poçt formalı dəyərləri, IP ünvanlarını və digər kodlaşmaları ayırır, ona görə kodlaşma simvollar qədər vacibdir. İki cihaz eyni mətni fərqli tiplər altında qəbul edib yenə də bir-birini rədd edə bilər. Dəyəri tipi olmadan qeyd edən qeyd konfiqurasiyanın yarısıdır.
Cihazın həqiqətən hansı tip göndərdiyini satıcıdan soruşun və interfeys etiketi ilə deyil, dekodlama ilə təsdiqləyin. Təxmin edilən tip növbəti dəyişikliyi gözləyən uyğunsuzluqdur.
Hər tərəf digərini təmin etməlidir
Hər tərəfin yerli kimliyi digər tərəfin autentifikasiya siyasətindən keçməlidir. Bu, hər iki cihazdakı hər kimlik qutusuna bir sətir yapışdırmaq deyil, o qısa yol heç kimin sazlamadığı konfiqurasiya yaradır.
Sertifikatla autentifikasiya öz tələblərini əlavə edir, çünki sertifikatın kimliyi və etimad şərtləri yazdığınız IKE kimliyinin yanında durur. Tək IKE kimliyinin uyğunluğu sertifikatlı peer-i səlahiyyətləndirmir.
DNS harada vacibdir və versiyanız nəyi məcburi edir
Kəşf üçün istifadə olunan şlüz hostname-i həqiqətən işləyən DNS tələb edir və bu tələb son nöqtəni tapmağa aiddir, yazılmış kimliyin hər hansı tərs axtarışına deyil. Biletdə ikisini ayrı saxlayın, çünki kəşf uğursuzluğu və kimlik uyğunsuzluğu müştəri jurnalında oxşar oxunur və müxtəlif yerlərdə düzəldilir.
Tipi məcbur edən sintaksisi kopyalamazdan əvvəl həqiqətən işlətdiyiniz məhsulun və versiyanın analizatorunu oxuyun, çünki köhnə strongSwan buraxılışları fərqli davranırdı və digər satıcılar öz məhdudiyyətlərini əlavə edir. İki ucu müqayisə edərkən dörd şeyi birlikdə saxlayın: gözlənilən kimlik, təqdim edilən kimlik, tip və autentifikasiya xətası. Bu çoxluq uyğunsuzluğu rəy deyil, sübuta çevirir.