IKEv2 server ünvanı və şəxsiyyət: müştəri əslində nəyi yoxlayır

Ünvanı dəyişən şlüz yeni sertifikatın arxasında eyni şlüz dayandığı halda işləməyə davam edə bilər və bunun əksi də baş verir. Ünvan müştəriyə paketləri hara göndərəcəyini bildirir; autentifikasiya edilmiş şəxsiyyət müştəriyə cavab verən həmyaşıdının etibar etməli olduğu şəxs olub-olmadığını bildirir. IKEv2 onları iki ayrı sahə kimi saxlayır, bu, onlara bir sətir kimi baxmağı dayandırdıqdan sonra faydalıdır. Onlar da müxtəlif yerlərdə konfiqurasiya olunublar, ona görə də biri düzgün, digəri isə yanlış ola bilər.

Onları bu ardıcıllıqla yoxlayın və ilk uyğunsuzluqda dayandırın, çünki sonrakı yoxlamalar əvvəlkilərin keçdiyini güman edir.

Birincisi, hansı dəyər ünvandır

Qoşulma ünvanı müştərinin nə yığmasından asılı olmayaraq odur: IP, birinə həll edilən DNS ad və ya yük balanslaşdırılmış ön son. Bu, nəqliyyat məlumatıdır və başqa heç nə yoxdur. Şəxsiyyət IKEv2 ID faydalı yükündə gəzir və sonra həmyaşıdın sertifikatı ilə uyğunlaşdırılır. Ünvan qutusundakı DNS ad gözlənilən şəxsiyyətə çevrilmir və xam İP yalnız rozetka ona qoşulduğu üçün şəxsiyyətə çevrilmir.

strongSwan baxımından ünvan right və ya left, gözlənilən eynilik isə rightid və ya leftid-dir və IKEv2 konfiqurasiya sənədləri bunu təsvir edir. Əgər ünvanı yalnız redaktə etmisinizsə, cütün yarısını konfiqurasiya etmisiniz.

İkincisi, sertifikat nəyi sübut edə bilər

Şəxsiyyətin növü var və sertifikat uyğun ad daşımalıdır. DNS identifikasiyası mövzunun alternativ adı genişləndirilməsində dNSName girişi ilə təmin edilir; IP identifikasiyası iPAddress girişinə ehtiyac duyur. vpn.example.com üçün verilmiş şəhadətnamə 203.0.113.10 hərfi ünvanı haqqında heç nə sübut etmir və həmin ünvan üçün verilmiş bir sertifikat ad haqqında heç nə sübut etmir. Buna görə də, eyni açar və CA təkrar istifadə olunsa belə, başqa ad üçün yenidən buraxılış açılan əvəz deyil.

Müasir müştərilər, bir mövzu alternativ adı mövcud olduqda ümumi ada məhəl qoymurlar və bir çoxları buna tamamilə məhəl qoymurlar. SAN siyahısında müştərinin yoxladığı dəyər yoxdursa, sertifikat artıq etibarlı kimi qəbul edildikdən sonra əl sıxma uğursuz olur, buna görə də jurnal etibar xətası deyil, şəxsiyyət xətası kimi oxunur.

Üçüncüsü, hər bir müştəri gözləntilərini necə ifadə edir

Windows yazdığınız server adını və ya ünvanı alır və sertifikatın ona uyğun olmasını tələb edir, beləliklə, IP yazmaqla IP gözləntisi yaranır. Android-nin IKEv2 müştərisi eyni şəkildə davranır və hər ikisi fərqli hostu adlandıran etibarlı, ictimai etibarlı sertifikatı rədd edir. Profil sadəcə olaraq miqrasiya zamanı host adını onun ünvanı ilə əvəz etdiyi üçün uğursuz başlaya bilər. Sertifikatda nə olduğuna baxmaqdan əvvəl müştərinin nə tələb etdiyinə baxın.

strongSwan-da gözlənti açıqdır: rightid-ni serverin həqiqətən təqdim etdiyi şəxsiyyətə təyin edin, bu, sağdan fərqli ola bilər. Onu %any olaraq təyin etmək həmyaşıdın təklif etdiyi hər şeyi qəbul edir və saxlamağa çalışdığınız çeki tam olaraq aradan qaldırır.

Dördüncüsü, istifadəçi girişini həmyaşıd şəxsiyyətindən ayırın

EAP autentifikasiyası və server identifikasiyası müxtəlif suallara cavab verir. Müştəri serverin düzgün olduğuna qərar verdikdən sonra [email protected] kimi EAP identifikasiyası istifadəçinin kim olduğunu bildirir. Bu parolun fırlanması həmyaşıd şəxsiyyət uyğunsuzluğunu düzəldə bilməz, çünki əlaqə heç vaxt istifadəçi-giriş mərhələsinə çatmır.

Təmizlənmiş hesabatda hər ikisinin adı göstərilməlidir: müştərinin gözlədiyi şəxsiyyət, serverin təqdim etdiyi şəxsiyyət və sertifikatın SAN qeydləri.

Beşincisi, təsdiqlənmiş kanal vasitəsilə dəyişdirin

Şlüz qanuni olaraq hərəkət etdikdə, əvvəlcə ünvanı yeniləyin və şəxsiyyəti tək buraxın, çünki bu IKEv2 yaxşı idarə edir. Şəxsiyyətin özü dəyişdikdə, onu etibar hadisəsi kimi qəbul edin və yeni dəyəri hazırda uğursuz olan son nöqtədən deyil, artıq etibar etdiyiniz mənbədən əldə edin. Təsdiq etməyə çalışdığınız əlaqə üzərindən göndərilən mesaj bu əlaqə haqqında sübut deyil.

Son ünvanı, şəxsiyyəti və SAN siyahısını birlikdə profil qeydlərində qeyd edin. Sonra sertifikata toxunan şəxs üç nəfərdən hansının hərəkət etməsinə icazə verildiyini görəcək.