EAP neu dystysgrifau cleient? Penderfynu ar uwthnodiad IKEv2

Gall eich porth brofi ei hunaniaeth ei hun gyda thystysgrif wrth brofi eich un chi drwy EAP, ac mae’r cyfuniad hwnnw’n gyffredin yn hytrach nag yn wrthgyferbyniol. Mae’r ddau fecanwaith yn ateb cwestiynau gwahanol: ai’r pen draw hwn yw’r un rwy’n ei ddisgwyl, ac a yw’r defnyddiwr neu’r ddyfais hon yn cael caniatâd. Nid yw gweld EAP mewn proffil yn diffodd dilysu’r gweinydd. Darllen y proffil fel un gosodiad yw’r hyn sy’n gyrru pobl i ailosod y cymhwyster anghywir.

Penderfynwch pa hawliad a fethodd cyn cyffwrdd â’r naill wrthrych na’r llall. Mae’r cam methu yn dweud wrthych, os ydych yn ei ddarllen yn ei drefn.

Dau gymhwyster, dau hawliad

Mae tystysgrif gweinydd yn clymu enw wrth allwedd, ac mae’r cleient yn gwirio’r clymiad hwnnw yn erbyn ei storfa ymddiriedaeth. Mae tystysgrif cleient yn clymu hunaniaeth wrth allwedd, ac mae’r porth yn gwirio bod y dystysgrif a gyflwynir yn cadwyno i rywbeth y mae’n ymddiried ynddo. Mae EAP yn cario cyfnewidiad uwthnodi y mae ei gynnwys yn dibynnu ar y dull a ddewiswyd. Mae’r rhain yn dair strwythur ag oesau gwahanol, perchnogion gwahanol a dulliau methu gwahanol.

Nid yw cyfrinymadrodd sy’n datgloi allwedd breifat yn gyfrinair cyfrif, hyd yn oed pan fydd y ddau anogiad yn ymddangos o fewn eiliadau i’w gilydd. Mae un yn lleol i storfa allweddi’r ddyfais, a’r llall yn cael ei ddilysu gan weinydd uwthnodi y tu ôl i’r porth.

Cynhwysydd yw EAP, nid dull

Mae EAP yn fframwaith: mae’r porth a’r cleient yn trafod dull, ac mae’r dull yn penderfynu a oes cyfrinair, tocyn, cyfnewidiad mewnol tiwnol neu dystysgrif dan sylw, fel y mae dogfennaeth strongSwan ar IKEv2 yn ei egluro. Dyna pam nad yw EAP-TLS yn edrych dim fel EAP-MSCHAPv2 o safbwynt y cleient, er bod y ddau yn ymddangos fel EAP mewn bwydlen. Nid yw proffil sy’n enwi EAP yn unig wedi dweud wrthych beth y gofynnir i’r defnyddiwr amdano.

Darllenwch y dull a’r backend gyda’i gilydd. Mae’r backend yn pennu fformat y cyfrif, ymddygiad cloi a’r hyn y mae ailosod cyfrinair yn ei newid mewn gwirionedd, ac nid oes dim o hynny’n weladwy ym mhroffil y cleient.

Mae’r defnydd cymysg yn normal

Tystysgrif gweinydd ynghyd ag EAP ar gyfer y defnyddiwr yw’r siâp y mae’r rhan fwyaf o byrth mynediad o bell yn ei ddefnyddio, oherwydd ei fod yn rhoi pen draw gwirioadwy i’r cleient ac yn rhoi hunaniaeth fesul defnyddiwr i’r gweithredwr mewn storfa gyfrifon ganolog. Mae defnyddio tystysgrifau cleient yn bodoli hefyd, fel arfer lle mae hunaniaeth dyfais yn bwysicach na chyfrinair. Mae’r ddau yn ddilys, a’r camgymeriad yw tybio mai’r un a welsoch yr wythnos diwethaf yw’r un sydd o’ch blaen.

Gofynnwch i’r gweithredwr am y dull a fformat y cyfrif a ddogfennwyd yn lle eu casglu o enwau meysydd mewn cleient.

Penderfynu o’r cam methu

Trefnwch yr arsylwadau. Mae gwall ymddiriedaeth cyn unrhyw anogiad defnyddiwr yn broblem tystysgrif gweinydd ac ni fydd unrhyw gyfrinair yn ei thrwsio. Mae anogiad sy’n cael ei ddilyn gan wrthodiad yn broblem uwthnodi defnyddiwr, gyda’r dull EAP a’r backend yn amheuon. Nid yw uwthnodiad llwyddiannus sy’n cael ei ddilyn gan fethiant child-SA yn y naill na’r llall.

Mae dau wahaniaeth arall yn bwysig. Mae cleient sy’n gwrthod tystysgrif y gweinydd fel arfer yn adrodd anghysondeb enw neu awdurdod anhysbys, sy’n gwestiwn storfa ymddiriedaeth. Mae porth sy’n gwrthod y defnyddiwr yn aml yn cofnodi’r dull EAP a chategori rheswm, sy’n gwestiwn cyfrif neu bolisi.

Gweithredu’r ddau fodel

Ar gyfer tystysgrifau’r gwaith yw cyhoeddi, adnewyddu, dirymu a dileu dyfeisiau coll, ac mae’n digwydd ar amserlen rydych yn ei rheoli. Ar gyfer EAP y gwaith yw cylch bywyd cyfrif, cefnogaeth dull ar bob platfform cleient, a pha bynnag ail ffactor y mae’r backend yn ei ofyn. Nid yw’r naill fodel yn rhatach yn haniaethol; maent yn llwytho timau gwahanol. Nodwch pa un y mae eich defnydd yn ei ddefnyddio mewn gwirionedd, oherwydd mae’r sgriptiau cymorth yn gwahaniaethu mwy na’r ffurfweddiad.

Cadwch nhw ar wahân yn eich nodiadau. Mae tystysgrif yn dod i ben yn cynhyrchu methiant ar ddyddiad, mae cloi cyfrif yn cynhyrchu methiant ar ôl newid cyfrinair, ac mae anghysondeb dull yn cynhyrchu methiant ar un platfform yn unig.

Ar ôl derbyn hunaniaeth

Un giât yw uwthnodi. Mae’r gysylltiad diogelwch israddol, y detholwyr traffig, DNS a chaniatadau’r ap ei hun yn gatiau diweddarach, pob un yn methu ar ei delerau ei hun. Nid yw hunaniaeth a dderbyniwyd nad yw’n cyrraedd unrhyw beth yn broblem uwthnodi.

Cofnodwch y dull, y cyfrif neu’r dystysgrif a ddefnyddiwyd, a’r cam a fethodd. Mae’r nodyn hwnnw’n troi’r digwyddiad nesaf yn chwiliad yn lle arbrawf.