strongSwan EAP: IKE şəxsiyyəti və gözlənilən AAA adı

strongSwan EAP klienti iki server adını yoxlaya bilər. remote.id IKE şlüzünü, local.aaa_id isə EAP serverini əhatə edir; bunlar bir sahə deyil.

IKEv2 üzərində EAP autentifikasiyası klientdən bir bağlantıda iki fərqli server adını yoxlamağı tələb edə bilər. IKE-ni sonlandıran şlüz bir şəxsiyyət təqdim edir, daxili TLS mübadiləsini sonlandıran EAP arxa hissəsi isə başqa bir şəxsiyyət təqdim edə bilər. strongSwan-da bunlar müxtəlif konfiqurasiya bloklarında yaşayır və adı səhv bloka qoymaq sertifikat problemi kimi görünən uğursuzluq yaradır. Hansı yoxlamanın uğursuz olduğunu oxumaq hansı bloku redaktə etməli olduğunuzu bildirir.

Bir bağlantı, iki server şəxsiyyəti

Birinci şəxsiyyət IKE mübadiləsinə aiddir. Klient ünvana zəng edir və qarşı tərəfin müəyyən şəxsiyyəti, adətən şlüz sertifikatındakı adı sübut etməsini gözləyir.

İkincisi EAP-a aiddir. PEAP və ya TTLS ilə klient IKE SA daxilində autentifikasiya serverinə TLS tuneli qurur və bu daxili server öz sertifikatını təqdim edir. Arxa hissə ayrı host olduqda onun adı şlüzün adından fərqlənir. Yalnız birinci adı yoxlayan klient ikincinin iddia etdiyi hər şeyi qəbul edir. Hər iki yerdə bir adla konfiqurasiya edilmiş klient isə ikisi həqiqətən fərqlənən kimi uğursuz olur.

Hər iki ad xətanı aradan qaldıran sertifikatdan deyil, operatorun konfiqurasiyasından gəlir. Operatorun yerləşdirmə detallarını soruşmaq iki host adı təxmin etməkdən sürətlidir.

Hansı sahə hansı qata aiddir

swanctl-də ünvan və IKE şəxsiyyəti ayrı parametrlərdir, EAP şəxsiyyəti isə üçüncüdür.

Uzaq ünvan paketlərin hara getdiyini seçir, uzaq şəxsiyyət isə qarşı tərəfin nəyi sübut etməli olduğunu bildirir. EAP gözləntisi local blokunun altında yazılır, çünki o, qarşı tərəfin IKE davranışını deyil, bu klientin EAP mübadiləsini təsvir edir. İnsanların səhv oxuduğu yer məhz bu yerləşdirmədir. Ad serveri təsvir etdiyi halda klientin konfiqurasiyasında durur və buna görə də yanlış yerdə görünür.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Bu fraqment tam bağlantı deyil; etimad materialı, etimadnamələr və alt siyasətlər hələ də olmalıdır. Onu işlək fayla hərfi köçürmək hələ ehtiyac duyduğunuz parametrləri əvəz edərdi.

aaa_id niyə local altında yaşayır

local bloku bu tərəfin autentifikasiya zamanı nə etdiyini, o cümlədən istifadə edəcəyi metodu və həmin metod üçün digər tərəfdən gözlədiyi şəxsiyyəti təsvir edir. Burada AAA serverinin eyni maşında işlədiyinə dair heç nə yoxdur.

Defolt tələni daha kəskin edir. Açıq dəyər verilmədikdə gözlənilən AAA şəxsiyyəti uzaq şəxsiyyəti izləyir, ona görə bir adlı yerləşdirmə işləyir və fərqi gizlədir. Açıq dəyər yalnız EAP yerləşdirməsi həqiqətən başqa yerdə bitdikdə vacibdir. Bu səbəb olmadan onu fərqli ada dəyişmək operatorun təkrarlaya bilməyəcəyi uğursuzluq yaradır. İkinci ad uydurmadan əvvəl yerləşdirməni oxuyun.

Dəyəri arxa hissə sertifikatının həqiqətən iddia etdiyi ilə, adın forması da daxil olmaqla, eyni saxlayın. Sondaki nöqtə və ya hostu əhatə etməyən vəhşi simvol yoxlamanın uğursuz olması üçün kifayətdir.

Bölünməni ifadə edə bilməyən ön interfeyslər

NetworkManager profili swanctl ilə eyni konfiqurasiya interfeysi deyil. Onun arxasındakı plagin daha dar şəxsiyyət nəzarətləri təqdim edir və hansının mövcud olması quraşdırılmış versiyadan asılıdır.

Bu, yerləşdirmə həqiqətən iki ad tələb etdikdə vacibdir. Server şəxsiyyəti adlandırılan sahə bir qatı konfiqurasiya edib digərini etməyə bilər, ona görə profil düzgün görünə və yenə daxili yoxlamada uğursuz ola bilər. Profilin bu düzümü ifadə edə bildiyini fərz etməzdən əvvəl quraşdırılmış plaginin nələri dəstəklədiyini yoxlayın. Əgər edə bilmirsə, seçim operatora aiddir: fərqli təminat yolu və ya düzəldilmiş server şəxsiyyəti dizaynı. PEAP-ı zəiflətmək və ya istənilən adı qəbul etmək autentifikasiya siyasətini düzəltmək yerinə dəyişdirir.

Alternativ klientdə uydurulacaq bir şey deyil. Dəstəklənən düzümü yazılı şəkildə istəyin, sonra o cavabı profillə birlikdə saxlayın.

Şəxsiyyət uyğunsuzluğunu vaxtı keçmiş sertifikatdan ayırın

Ad uyğunsuzluğu və vaxtı keçmiş sertifikat fərqli uğursuzluqlardır və jurnal onları ayırd edir. Hansı sahəni dəyişəcəyinizə qərar verməzdən əvvəl mesajı oxuyun.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Nəzərdə tutulan AAA şəxsiyyətini təyin etmək sertifikatı yeniləmir və onun vericisinə etimad yaratmır, sertifikatın yenilənməsi isə səhv gözlənilən adı düzəltmir. Başqa şəxsiyyət sahəsini redaktə etməzdən əvvəl hansı yoxlamanın uğursuz olduğunu oxuyun. Sonra konfiqurasiyanı yenidən yükləyin və yüklənmiş bağlantının təyin etdiyiniz dəyəri göstərdiyini təsdiqləyin, çünki heç vaxt yüklənməmiş redaktə edilmiş fayl heç nəyi dəyişmir. Hər iki adı və qatlarını yerləşdirmə qeydlərinə yazın.

Əlaqəli məqalələr