IKEv2 адрас сервера супраць ідэнтыфікацыі: што насамрэч правярае кліент

Шлюз, які мяняе адрас, можа працягваць працаваць, пакуль той жа шлюз за новым сертыфікатам спыняецца, і адбываецца адваротнае. Адрас паведамляе кліенту, куды адпраўляць пакеты; аўтэнтыфікаваная асоба паведамляе кліенту, ці з'яўляецца аднарангавы, які адказвае, тым, каму варта давяраць. IKEv2 захоўвае іх як два асобныя палі, што карысна, калі вы перастанеце разглядаць іх як адзін радок. Яны таксама настроены ў розных месцах, так што адзін можа быць правільным, а другі памылковым.

Праверце іх у такім парадку і спыніцеся на першым несупадзенні, таму што пазнейшыя праверкі мяркуюць, што папярэднія прайшлі.

Па-першае, якое значэнне з'яўляецца адрасам

Адрас злучэння - гэта тое, што набірае кліент: IP, імя DNS, якое ператвараецца ў адзінку, або збалансаваны нагрузкай інтэрфейс. Гэта транспартная інфармацыя і не больш за тое. Ідэнтычнасць змяшчаецца ў карыснай нагрузцы ідэнтыфікатара IKEv2, а затым супастаўляецца з сертыфікатам аднарангавага ўдзельніка. Імя DNS у адрасным полі не становіцца чаканым ідэнтыфікатарам, а неапрацаваны IP не становіцца ідэнтыфікатарам толькі таму, што да яго падключаны сокет.

У тэрмінах strongSwan адрас — right або left, а чаканая асоба — rightid або leftid, і менавіта гэта апісваецца ў дакументацыі па канфігурацыі IKEv2. Калі вы толькі калі-небудзь рэдагавалі адрас, вы сканфігуравалі палову пары.

Па-другое, што можа пацвердзіць сертыфікат

Ідэнтычнасць мае тып, і сертыфікат павінен мець адпаведнае імя. Ідэнтычнасць DNS задавальняецца запісам dNSName у альтэрнатыўным пашырэнні імя суб'екта; ідэнтыфікатар IP патрабуе запісу iPAddress. Сертыфікат, выдадзены для vpn.example.com, нічога не даказвае пра літаральны адрас 203.0.113.10, а сертыфікат, выдадзены для гэтага адрасу, нічога не даказвае пра імя. Такім чынам, перавыданне для іншага імя не з'яўляецца заменай, нават калі той жа ключ і CA выкарыстоўваюцца паўторна.

Сучасныя кліенты ігнаруюць агульную назву, калі існуе альтэрнатыўная назва прадмета, а многія ігнаруюць яе цалкам. Калі ў спісе SAN няма значэння, якое правярае кліент, рукапацісканне не атрымоўваецца пасля таго, як сертыфікат ужо быў прыняты як варты даверу, таму ў журнале чытаецца як памылка ідэнтыфікацыі, а не памылка даверу.

Па-трэцяе, як кожны кліент выказвае свае чаканні

Windows прымае імя або адрас сервера, якія вы ўвялі, і патрабуе, каб сертыфікат адпавядаў ім, таму ўвод IP стварае чаканне IP. Кліент Android IKEv2 паводзіць сябе такім жа чынам, і абодва адхіляюць сапраўдны агульнадавераны сертыфікат, які называе іншы хост. Профіль можа пачацца збой проста таму, што нехта замяніў імя хаста яго адрасам падчас міграцыі. Паглядзіце, што запытваў кліент, перш чым глядзець, што змяшчае сертыфікат.

На strongSwan чаканне відавочнае: усталюйце rightid ідэнтыфікацыю, якую сапраўды прадстаўляе сервер, якая можа адрознівацца ад правільнай. Усталяванне %any прымае ўсё, што прапануе пір, і выдаляе менавіта той чэк, які вы спрабуеце захаваць.

Па-чацвёртае, аддзяліце лагін карыстальніка ад ідэнтычнасці аднарангавага карыстальніка

Аўтэнтыфікацыя EAP і ідэнтыфікацыя сервера адказваюць на розныя пытанні. Ідэнтычнасць EAP, такая як [email protected], паказвае, хто з'яўляецца карыстальнікам, пасля таго як кліент вырашыў, што сервер правільны. Паварот гэтага пароля не можа выправіць несупадзенне ідэнтыфікатараў аднарангавага партнёра, таму што злучэнне ніколі не даходзіць да этапу ўваходу карыстальніка.

Прачышчаная справаздача павінна называць абодва: асобу, якую чакаў кліент, асобу, якую прадставіў сервер, і запісы SAN сертыфіката.

Па-пятае, змяніце яго праз правераны канал

Калі шлюз законна перамяшчаецца, спачатку абнавіце адрас і пакіньце асобу ў спакоі, таму што ў гэтым выпадку IKEv2 спраўляецца добра. Калі сама асоба змяняецца, разглядайце гэта як падзею даверу і атрымлівайце новае значэнне з крыніцы, якой вы ўжо давяраеце, а не з канчатковай кропкі, якая зараз не працуе. Паведамленне, дастаўленае праз злучэнне, якое вы спрабуеце праверыць, не з'яўляецца доказам гэтага злучэння.

Запішыце канчатковы адрас, асобу і спіс SAN разам у нататках профілю. Наступны чалавек, які дакранецца да сертыфіката, убачыць, каму з трох дазволена рухацца.