Hunaniaeth IKE neu gyfeiriad pen y daith: peidiwch â'u cymysgu
Mae hunaniaeth IKE o fath FQDN yn werth dilysu llythrennol, nid chwiliad DNS gwrthdro. Cadwch gyfeiriad pen y daith, yr hunaniaeth leol a'r peer disgwyliedig ar wahân.
Darllenwch faes wedi'i labelu'n hunaniaeth FQDN fel llinyn llythrennol, nid fel cais am enw DNS gwrthdro eich cyfeiriad cyhoeddus. Yn parser strongSwan dyna'n union ydyw, llinyn, ac nid yw ei ddarllen byth yn ei ddatrys i ben y daith. Mae'r ffaith honno ar ei phen ei hun yn tynnu'r tynnu sylw mwyaf cyffredin pan fyddwch chi'n dewis dynodwyr ar gyfer peer. Mae'r gwiriadau isod yn cadw'r tri gwerth dan sylw rhag cwympo'n un.
Nid label yw chwiliad
Mae rhyngwynebau gwerthwyr yn defnyddio geiriau fel FQDN a hostname yn llac, ac nid yw'r label ar flwch yn dweud dim am yr amgodio y tu ôl iddo. Gall offeryn sy'n galw maes yn Client FQDN anfon FQDN, llinyn ar ffurf e-bost neu gyfeiriad noeth. Triniwch y testun a'r math fel dau benderfyniad ar wahân, a chofnodwch y ddau.
Nid oes dim am hunaniaeth llythrennol yn gofyn am DNS. Mae'n haeriad y mae'r pen arall yn ei wirio, nid enw y mae'n rhaid i'r rhwydwaith ei ddatrys.
Tri gwerth ar wahân, wedi'u hysgrifennu ar wahân
Mae tri swydd y tu ôl i un sgrin ffurfweddu, a'u huno yw'r camgymeriad drud. Un gwerth yw cyfeiriad pen y daith, sy'n penderfynu i ble mae pecynnau'n mynd. Un arall yw'r hunaniaeth leol y mae'r peer hwn yn ei chyflwyno, a'r trydydd yw'r hunaniaeth yr ydych yn ei disgwyl gan y pen pell cyn i chi ei dilysu. Ysgrifennwch hwy fel tair llinell yn y tocyn newid, oherwydd bod unrhyw beth llai yn disgrifio VPN yn hytrach na pherthynas.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Rhaid dewis a chydawdurdodi'r hunaniaethau enghreifftiol fel rhan o'r defnydd. Maent yn haeriadau y mae dilysu yn eu gwirio, nid cardiau adnabod sy'n gwneud unrhyw peer yn ddibynadwy, felly nid yw llinyn sy'n edrych yn gredadwy yn awdurdodi dim.
Mae'r math yn rhan o'r gwerth
Mae cyfeirlyfr hunaniaeth strongSwan yn gwahanu FQDN, gwerthoedd ar ffurf e-bost, cyfeiriadau IP ac amgodio arall, felly mae'r amgodio'n cyfrif cymaint â'r cymeriadau. Gall dau ddyfais dderbyn yr un testun o dan wahanol fathau ac o hyd wrthod ei gilydd. Mae nodyn sy'n cofnodi'r gwerth heb ei fath yn hanner ffurfweddiad.
Gofynnwch i'r gwerthwr pa fath mae'r offeryn yn ei anfon mewn gwirionedd, a chadarnhewch hynny drwy ddadgodio yn hytrach na label y rhyngwyneb. Mae math a ddyfalwyd yn anghysondeb sy'n aros am y newid nesaf.
Rhaid i bob ochr fodloni'r llall
Rhaid i hunaniaeth leol pob ochr basio polisi dilysu'r ochr arall. Nid yw hynny'r un peth â gludo un llinyn i bob blwch hunaniaeth ar y ddau ddyfais, sef y llwybr byr sy'n cynhyrchu ffurfweddiad na all neb ei ddadfygio.
Mae dilysu tystysgrif yn ychwanegu gofynion ei hun, oherwydd bod hunaniaeth y dystysgrif a'r amodau ymddiriedaeth yn sefyll wrth ymyl yr hunaniaeth IKE a deipiwyd gennych. Nid yw cyfatebiaeth hunaniaeth IKE yn unig yn awdurdodi peer tystysgrif.
Lle mae DNS yn cyfrif, a beth mae'ch fersiwn yn ei orfodi
Mae enw gwesteiwr porth a ddefnyddir ar gyfer darganfod angen DNS sy'n gweithio, ac mae'r gofyniad hwnnw'n perthyn i ddod o hyd i ben y daith yn hytrach nag i unrhyw chwiliad gwrthdro o hunaniaeth a deipiwyd. Cadwch y ddau ar wahân yn y tocyn, oherwydd bod methiant darganfod ac anghysondeb hunaniaeth yn darllen yn debyg mewn log cleient ac yn cael eu trwsio mewn gwahanol leoedd.
Darllenwch y parser ar gyfer y cynnyrch a'r fersiwn yr ydych yn eu rhedeg mewn gwirionedd cyn copïo cystrawen sy'n gorfodi math, gan fod rhyddhau strongSwan hŷn wedi ymddwyn yn wahanol ac mae gwerthwyr eraill yn ychwanegu cyfyngiadau eu hunain. Pan fyddwch yn cymharu'r ddau ben, daliwch bedwar peth gyda'i gilydd: hunaniaeth ddisgwyliedig, hunaniaeth a gyflwynwyd, math a'r gwall dilysu. Mae'r set honno'n troi anghysondeb yn dystiolaeth yn lle barn.