Identitat IKE o adreça de punt final: no les confonguis
Una identitat IKE de tipus FQDN és un valor d'autenticació literal, no una consulta de DNS invers. Mantén separades l'adreça del punt final, la identitat local i el peer esperat.
Llegeix un camp etiquetat com a identitat FQDN com una cadena literal, no com una petició del nom de DNS invers de la teva adreça pública. Al parser de strongSwan és exactament això, una cadena, i llegir-lo no el resol mai a un punt final. Aquest fet sol elimina la distracció més habitual quan tries identificadors per a un peer. Les comprovacions següents eviten que els tres valors implicats es col·lapsin en un.
Una etiqueta no és una consulta
Les interfícies dels fabricants fan servir paraules com FQDN i hostname amb molta laxitud, i l'etiqueta d'una caixa no diu res sobre la codificació que hi ha darrere. Un aparell que anomena un camp Client FQDN pot enviar un FQDN, una cadena amb forma de correu o una adreça nua. Tracta el text i el tipus com dues decisions separades i registra'ls tots dos.
Res d'una identitat literal no requereix DNS. És una afirmació que l'altre extrem comprova, no un nom que la xarxa hagi de resoldre.
Tres valors separats, escrits per separat
Tres feines s'amaguen darrere d'una sola pantalla de configuració, i fusionar-les és l'error car. Un valor és l'adreça del punt final, que decideix on van els paquets. Un altre és la identitat local que presenta aquest peer, i el tercer és la identitat que esperes de l'altre extrem abans d'autenticar-lo. Escriu-los com tres línies al tiquet de canvi, perquè qualsevol cosa menys que això descriu una VPN i no una relació.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Les identitats d'exemple s'han de triar i autoritzar com a part del desplegament. Són afirmacions que l'autenticació verifica, no credencials que facin fiable cap peer, així que una cadena versemblant no autoritza res.
El tipus forma part del valor
La referència d'identitat de strongSwan separa FQDN, valors amb forma de correu, adreces IP i altres codificacions, així que la codificació importa tant com els caràcters. Dos dispositius poden acceptar el mateix text amb tipus diferents i tot i així rebutjar-se. Una nota que registra el valor sense el seu tipus és mitja configuració.
Pregunta al fabricant quin tipus envia realment l'aparell i confirma-ho amb una descodificació, no amb l'etiqueta de la interfície. Un tipus endevinat és una discrepància esperant el proper canvi.
Cada costat ha de satisfer l'altre
La identitat local de cada costat ha de superar la política d'autenticació de l'altre costat. Això no és el mateix que enganxar una cadena a cada casella d'identitat dels dos dispositius, que és el curtcircuit que produeix una configuració que ningú no pot depurar.
L'autenticació per certificat afegeix requisits propis, perquè la identitat del certificat i les condicions de confiança se situen al costat de la identitat IKE que has escrit. Una coincidència d'identitat IKE per si sola no autoritza un peer amb certificat.
On importa el DNS i què imposa la teva versió
Un hostname de passarel·la usat per al descobriment sí que necessita DNS funcionant, i aquest requisit pertany a la troballa del punt final, no a cap consulta inversa d'una identitat escrita. Mantén les dues coses separades al tiquet, perquè una fallada de descobriment i una discrepància d'identitat es llegeixen de manera semblant en un registre de client i es reparen en llocs diferents.
Llegeix el parser del producte i la versió que realment executes abans de copiar sintaxi que força un tipus, perquè les versions antigues de strongSwan es comportaven diferent i altres fabricants afegeixen restriccions pròpies. Quan comparis els dos extrems, mantén quatre coses juntes: identitat esperada, identitat presentada, tipus i l'error d'autenticació. Aquest conjunt converteix una discrepància en evidència en lloc d'una opinió.