Tystysgrif IKEv2 a SAN: pam mae'r gwiriad hunaniaeth yn methu

Mae eich tystysgrif yn cadwyno at CA dibynadwy, mae'r dyddiadau'n iawn, ac mae'r cymar yn gwrthod cwblhau cam 1 o hyd gyda gwall hunaniaeth. Mae cyrraedd a llofnod dilys yn hanner yr hyn y mae cleient IKEv2 yn ei wirio yn unig. Yr hanner arall yw a yw'r hunaniaeth y mae'n ei disgwyl yn ymddangos yn y dystysgrif yn y maes cywir, a'r proffil sy'n gosod y disgwyliad hwnnw, nid enw ffeil y dystysgrif.

Mae'r symptom bob amser yr un siâp

Mae proffil cysylltiad yn newid o enw gwesteiwr i gyfeiriad IP, neu'n cael ei adnewyddu o dystysgrif a oedd yn cario enw DNS i un sy'n cario cyfeiriadau yn unig, ac mae'r twnnel yn rhoi'r gorau i drafod. Ni newidiodd dim ar y llwybr rhwydwaith. Mae'r cleient yn cyrraedd y cymar, yn derbyn tystysgrif, ac yn gwrthod hunaniaeth y cymar oherwydd nad yw'r dynodydd y dywedwyd wrtho i'w ddisgwyl yn cael ei gynrychioli mewn maes y mae'n ei dderbyn. Adnewyddiadau yw'r sbardun arferol, gan fod y dystysgrif amnewid yn aml yn dod o dempled gwahanol i'r un y mae'n ei disodli.

Yna mae'r ddwy ochr yn cofnodi rhywbeth diwerth, a dyna pam y caiff y methiant ei adrodd fel problem tystysgrif fel arfer. Efallai y bydd log y cleient yn enwi'r hunaniaeth y roedd ei eisiau, a'r enw hwnnw yw'r cliw rydych ei angen, nid y dyddiad dod i ben.

Cysylltwch y math o ddynodydd, nid y gwerth yn unig

Mae SAN dNSName a SAN iPAddress yn feysydd gwahanol â rheolau cydweddu gwahanol, felly nid yw tystysgrif sy'n cario 203.0.113.10 fel llinyn DNS yn bodloni cleient sy'n disgwyl hunaniaeth IP. Mae dilyswyr modern yn anwybyddu'r enw cyffredin i raddau helaeth, felly nid yw'r label cyfeillgar yn manylion y dystysgrif yn profi dim am yr hyn a fydd yn cydweddu. Os disodlwyd enw gwesteiwr gan gyfeiriad wrth ddatrys problemau, cymerwch fod yr hunaniaeth a ddisgwylid wedi symud gydag ef nes i chi wirio. Cymharwch y llinyn yn y proffil â'r llinyn yn y SAN nod wrth nod, oherwydd mae dot ar y diwedd neu ofod dros ben yn ddigon.

Mae cardiau gwyllt yn gyfleustra DNS yn unig ac yn dilyn eu rheolau cydweddu eu hunain, sy'n reswm arall dros beidio â dibynnu arnynt mewn proffil sy'n seiliedig ar IP.

Darganfyddwch ble mae pob cleient yn storio'r disgwyliad

Yn strongSwan, daw'r gwerth a gymharir â'r dystysgrif o osodiad hunaniaeth y cymar: rightid yn y ffurfweddiad clasurol, neu'r id o adran cysylltiad o bell yn swanctl. Mae'r ddogfennaeth ar gydweithrediad Apple IKEv2 yn ddefnyddiol yma oherwydd ei bod yn nodi'r confensiynau hunaniaeth y mae cleient sy'n cael ei yrru gan broffil yn eu defnyddio, ac mae'r confensiynau hynny'n esbonio dosbarth o anghysondeb sy'n edrych yn hapddig ar y weiren.

Mae proffiliau ffurfweddu Apple yn cario maes dynodydd o bell, a'r gwerth yno yw'r hyn y mae'r cleient yn ei wirio, nid cyfeiriad y gweinydd yn y gosodiadau cysylltiad. Mae gan gleientiaid Windows a chyfarpar eu maes eu hunain gyda'u rhagosodiad eu hunain, ac mae'r rhagosodiad yn aml yn dilyn y cyfeiriad a deipiwyd gennych. Pan fo dau faes yn anghytuno, y maes y mae'r cleient yn ei ddarllen mewn gwirionedd sy'n ennill, ac anaml mai hwnnw yw'r un a olygwyd gennych.

Trwsiwch y proffil neu'r dystysgrif yn fwriadol

Archwiliwch dystysgrif y cymar ag offer cymeradwy a rhestrwch y cofnodion SAN gyda'u mathau cyn newid unrhyw beth. Nid oes angen allwedd breifat nac uwchlwytho ar gyfer yr archwiliad hwn, ac mae'n setlo'r cwestiwn mewn eiliadau. Os yw'r defnyddio'n bwriadu un hunaniaeth DNS, rhaid i'r dystysgrif ei chario fel cofnod dNSName, ac os yw'n bwriadu cyfeiriad, mae angen cofnod iPAddress ar y dystysgrif ar gyfer yr union gyfeiriad hwnnw.

Pan fo'r dystysgrif yn anghywir, gofynnwch am un wedi'i chywiro gan y gweithredwr gyda'r dynodydd disgwyliedig penodol. Pan fo'r proffil yn anghywir, trwsiwch y proffil a gadewch y dystysgrif yn llonydd. Mae analluogi dilysu hunaniaeth yn gwneud i'r gwall ddiflannu ac yn dileu'r gwiriad bod y twnnel yn siarad â'r cymar y bwriedid.

Dogfennwch yr hunaniaeth a ddisgwylir ar gyfer pob platfform cleient, oherwydd efallai y bydd angen i werth y mae un cleient yn ei ddeillio'n awtomatig fod yn eglur ar un arall.

Rhowch bedair ffaith i'r cais adnewyddu

Nodwch yr hunaniaeth a ddisgwylir a'i math, y cofnodion SAN sydd gan y dystysgrif gyfredol mewn gwirionedd, y cleient a'r fersiwn sy'n gwneud y gwiriad, a thestun union y gwall. Mae cais adnewyddu wedi'i adeiladu o'r pedwar llinell hynny'n cael y dystysgrif gywir y tro cyntaf, yn lle un arall â'r un enw ffeil cyfarwydd.