Dwy hunaniaeth mewn un mewngofnod IKEv2: y peiriant yn gyntaf, wedyn y defnyddiwr

Mae tystysgrif cleient yn dilysu, mae'r gyfnewidfa gyntaf yn cwblhau, ac yna mae'r cysylltiad yn stopio gyda gwall am rownd dilysu ychwanegol. Nid oes dim o'i le yn y gadwyn dystysgrifau ac ni newidiodd dim yn y rhwydwaith. Mae'r giât wedi'i chyflunio i fynnu ail brawf gan yr ochr sy'n cysylltu, ac nid yw'r cleient byth yn anfon un. Penderfynu pwy sy'n profi beth, ac ym mha drefn, yw'r dasg gyfan, ac mae'n dechrau wrth ddarllen y polisi o'r pen rydych yn sefyll arno. Mae dau brawf o wahanol fathau, mewn trefn sefydlog, yn benderfyniad dylunio yn hytrach na blwch ticio.

Y symptom: methiant ar ôl prawf cyntaf llwyddiannus

Mae'r gyfnewidfa gyntaf yn cwblhau ac mae'r log yn edrych yn iach, nes bod y giât yn gofyn am hunaniaeth defnyddiwr drwy EAP. Yna mae'r ysgwyd llaw yn stopio neu'n dychwelyd gwall protocol sy'n enwi'r rownd ychwanegol. Mae tystysgrif peiriant hollol ddilys yn cael ei gwrthod am reswm nad oes ganddo ddim i'w wneud â'i dilysrwydd. Roedd y polisi'n gofyn am ail brawf, ac ni chyrhaeddodd ateb y cleient byth.

Mae'r ddau ddisgrifiad o'r methiant hwnnw'n gywir yn dibynnu ar ble rydych yn sefyll. O ochr y cleient mae'n edrych fel gweinydd yn gwrthod tystysgrif ddilys, ac o ochr y gweinydd mae'n edrych fel cleient na all orffen y mewngofnod. Mae'r un digwyddiad yn darllen fel problem ymddiriedaeth mewn un log a phroblem gallu yn y llall. Dim ond y polisi a gyfluniwyd sy'n dweud wrthych pa un sydd.

Beth mae'r estyniad yn ei ychwanegu, a beth nad yw

Mae IKEv2 yn cario estyniad ar gyfer mwy nag un gyfnewidfa ddilysu o fewn un sesiwn. Mae RFC 4739 yn braslunio, ymhlith dilyniannau eraill, cleient yn profi hunaniaeth tystysgrif ac yna'n dilysu person drwy EAP. Mae'r ddogfen yn Experimental, sy'n golygu nad oes unrhyw weithrediad yn ddyledus i chi am y nodwedd. Peidiwch â chymryd dim yn ganiataol am gefnogaeth nes bod y cymar yn ei thrafod.

Rhaid i'r ddwy ochr gefnogi'r estyniad a chytuno arno yn ystod y gyfnewidfa. Ni all giât a gyfluniwyd ar gyfer ail rownd orfodi cleient i wneud un, ac ni fydd cleient sy'n ei gefnogi yn ei ddefnyddio oni bai bod y gweinydd yn gofyn. Yr anghymesuredd hwnnw yw'r rheswm pam mae'r methiant fel arfer yn dod i'r amlwg fel goramser neu wall protocol yn hytrach na datganiad clir am allu. Mae darllen cyfluniad un ochr yn dweud hanner yr hyn a fydd yn digwydd wrthych.

Un prawf fesul pen yw'r siâp arferol, ac nid hwn yw'r dyluniad hwnnw. Mae'r giât yn cyflwyno ei thystysgrif, mae'r defnyddiwr yn ateb drwy EAP, ac mae pob ochr wedi dilysu'r llall yn union unwaith. Daw'r ddau brawf hynny o bennau cyferbyniol, felly nid yw'r naill na'r llall yn dweud dim ar wahân am y peiriant a'r person sy'n ei ddefnyddio.

Mae EAP-TLS yn drydydd siâp, ac nid hwn yw hwnnw chwaith. Yno cyflwynir tystysgrif cleient y tu mewn i ddull EAP, felly mae'r cleient yn dal i gwblhau un dilysiad IKE. Gall yr ymrwymiadau edrych yn union yr un fath â'r achos aml-rownd tra bod y protocol yn cario un rownd yn lle dwy. Dyna pam mae dyluniad a gopïwyd o osodiad EAP-TLS yn methu yn union lle disgwylir yr ail brawf.

Mae'r un ffeil yn darllen yn wahanol ar y giât

Mae'r un ffeil swanctl yn darllen yn wahanol yn dibynnu ar ble mae'n rhedeg, a dyna'r rhan sy'n baglu pobl. Ar y gliniadur y giât yw'r cymar, ac ar y giât y gliniadur yw'r cymar, felly ysgrifennwch yr ochr local fel pwy ydw i a'r ochr remote fel pwy y byddaf yn ei dderbyn. Mae bloc local yn disgrifio sut mae'r pen hwn yn dilysu ei hun, ac mae bloc remote yn nodi beth y mae'n ei fynnu o'r pen arall. Mae copïo bloc rhwng y ddwy ffeil yn gwrthdroi ei ystyr heb newid un nod. Nid yw cymharu'r ddwy ffeil yn dweud fawr ddim wrthych, oherwydd mae'r un geiriau'n golygu pethau cyferbyniol ym mhob un.

Mae safle adran yn pennu ei threfn oni bai bod rhif rownd yn ei drechu. Felly mae adrannau local neu remote ychwanegol yn disgrifio rowndiau ychwanegol yn hytrach nag amrywiolion, ac mae'r rhif rownd penodol yn cyfeirlyfr swanctl.conf yn bodoli'n union i wneud y trefnu hwnnw'n fwriadol. Heb hynny, mae symud bloc yn newid yr ymddygiad. Dyna hefyd pam y gall dau gyfluniad sy'n edrych yn gyfartal ar bapur ymddwyn mewn trefn wrthgyferbyniol.

Mae'r rheol drefnu honno'n cynhyrchu'r modd methiant sy'n werth ei gofio. Nid yw ail floc remote yn opsiwn derbyniol arall; mae'n ail alwad, a dyna pam mae polisi sy'n darllen fel naill ai/neu yn ymddwyn fel a-wedyn. Gall polisi giât dderbyn tystysgrif y peiriant cofrestredig ac yna mynnu cyfnewidfa EAP y defnyddiwr hwnnw, yn y drefn honno.

Gwahaniaethwch rowndiau oddi wrth ffactorau annibynnol

Nid yw dwy rownd yn awtomatig yn ddau ffactor annibynnol. Nid yw ailadrodd prawf, na chadw dau ymrwymiad yn yr un storfa, yn rhoi'r cryfder yr oedd y dyluniad i fod i'w ychwanegu. Mae annibyniaeth yn briodwedd o'r ffordd y cedwir y cyfrinachau a'r hyn sy'n eu peryglu, nid o faint o gyfnewidfeydd y mae'r protocol yn eu rhedeg. Mae dyluniad sy'n cyfrif rowndiau fel ffactorau yn goramcangyfrif yr hyn sydd ganddo. Mae'r gwahaniaeth hwnnw'n bwysicaf pan fo cwestiwn cydymffurfio'n gofyn faint o ffactorau y mae'r mewngofnod yn eu defnyddio mewn gwirionedd.

Mae tystysgrif peiriant yn profi meddiant o'i allwedd a dderbyniwyd, a dim mwy. Nid yw'n atestasiad caledwedd ac nid yw'n adroddiad iechyd dyfais, felly mae angen mecanwaith gwahanol ar bolisi sydd angen gwybodaeth am gyflwr. Nid yw'r maes subject ychwaith yn dag rhestr eiddo y gellir ymddiried ynddo, oherwydd mae'r subject yn cael ei ddewis gan bwy bynnag a gyhoeddodd neu a gofrestrodd y dystysgrif. Os oes angen prawf ar y dyluniad bod y peiriant yn iach, rhaid i'r prawf hwnnw ddod o gydran sy'n mesur y peiriant.

Ysgrifennwch beth mae pob rownd yn ei brofi mewn gwirionedd cyn ei hychwanegu. Pan fydd dwy rownd yn profi'r un peth ddwywaith, mae'r ail yn ychwanegu oedi a thocynnau cymorth yn hytrach na sicrwydd. Y nodyn hwnnw hefyd yw'r hyn sy'n atal dadl ynghylch a yw'r rownd ychwanegol yn haeddu ei chost.

Ysgrifennwch y rheol baru a phrofwch y gwrthodiadau

Penderfynwch pa hunaniaethau peiriant all baru â pha bobl, ac ysgrifennwch y rheol lle mae'r gorfodi'n byw. Nid yw dau ymrwymiad dilys yn eistedd ochr yn ochr yn profi dim am y paru, oherwydd mae paru'n benderfyniad awdurdodi, nid yn ganlyniad dilysu. Rhaid i'r cofnodion cofrestru neu'r backend dilysu orfodi'r berthynas y mae'r sefydliad yn ei heisiau.

Yna profwch beth a ddylai fethu: defnyddiwr a dderbyniwyd ar beiriant heb ei gymeradwyo, defnyddiwr heb ei gymeradwyo sy'n dal ymrwymiad y peiriant, a chymar na all wneud y rownd ychwanegol. Os yw'r tri yn cael yr un mynediad yn dawel, mae'r polisi'n disgrifio bwriad yn hytrach na'i orfodi. Cymharwch y cyfluniad a ddatganwyd â'r hyn y mae'r daemon yn ei adrodd, oherwydd mae cysylltiad na chysylltodd erioed yn edrych yn union yr un fath â rheol a basiodd:

swanctl --list-conns
swanctl --list-sas

Gwiriwch y rowndiau a drafodwyd a'r awdurdodiad sy'n deillio o hynny, nid yn unig y mewngofnod llwyddiannus. Ac na chyrchwch at hen osodiadau IKEv1 XAuth fel llwybr byr: cyfatebwch y protocol, y rolau, y drefn ac ymddygiad go iawn y cleient yn hytrach na dileu rownd ofynnol nes bod cysylltiad yn llwyddo. Dileu'r rownd sy'n methu yw'r ffordd y mae dyluniad dau brawf yn troi'n dawel yn ddyluniad un prawf na wnaeth neb ei adolygu. Cadwch y dilead yn y cofnod newid.