Gosod tystysgrif IKEv2 ar iPhone: cofrestru â llaw neu gofrestru wedi’i rheoli

Mae dewis RSA oherwydd bod offeryn tystysgrifau’r porth yn ei ddefnyddio’n ddiofyn yn benderfyniad a wneir cyn y cwestiwn sy’n bwysig: sut y bydd yr iPhonau hyn yn cael eu cofrestru? Mae cysylltiad a deipir gan y defnyddiwr a phroffil cyfluniad a ddanfonir gan reolaeth yn dangos gosodiadau gwahanol, ac mae rhai dewisiadau tystysgrif yn bodoli ar un o’r llwybrau hynny yn unig. Gosodwch y drefn yn gywir a bydd y cynllun tystysgrif yn fyr; gwnewch gamgymeriad a byddwch yn cyhoeddi cymhwyster na fydd y ffôn yn ei ddefnyddio. Trinwch y camau isod fel dilyniant, oherwydd mae pob un yn culhau’r dewisiadau sydd ar gael i’r nesaf.

Cam un: dewiswch y llwybr cofrestru

Mae gosod â llaw yn golygu bod y defnyddiwr yn nodi cyfeiriad y gweinydd, yn dewis y dull dilysu ac yn darparu unrhyw gymhwyster y mae’r rhyngwyneb yn ei ganiatáu. Mae cofrestru wedi’i reoli yn golygu bod proffil yn cario’r cyfeiriad, y dynodwyr a chyfeiriad at lwyth cynnwys cymhwyster. Gall y llwybr wedi’i reoli fynegi cyfuniadau na all y sgrin â llaw eu dangos, a dyna pam mae’n rhaid i’r penderfyniad tystysgrif ddod ar ôl y dewis hwn yn hytrach nag o’i flaen.

Gall y ddau lwybr ddilysu ffôn. Maent yn wahanol yn yr hyn y gellir ei gyflunio ac yn y cwestiwn pwy sy’n berchen ar yr hunaniaeth, felly dewiswch un yn fwriadol yn lle cymysgu proffil wedi’i reoli â nodi cymhwyster â llaw.

Cam dau: dewiswch algorithmau ar gyfer y llwybr a ddewiswyd gennych

Ar gyfer iPhonau wedi’u cyflunio â llaw, mae nodiadau rhyngweithrededd iOS strongSwan yn argymell tystysgrif gweinydd RSA, oherwydd efallai na fydd y cleient â llaw yn derbyn tystysgrif gweinydd ECDSA; mae’r un nodiadau’n trin macOS ar wahân. Darllenwch hyn fel arweiniad ar gyfer y set cleientiaid a gefnogir, nid fel deddf barhaol am ddyfeisiau Apple. Mae gan broffil wedi’i reoli fwy o le: gall ddewis math o dystysgrif yn benodol, gan gynnwys hunaniaeth cleient ECDSA, pan fydd y llwyth a’r porth ill dau yn ei gefnogi.

Dilyswch y fersiynau iOS rydych yn eu cefnogi mewn gwirionedd cyn defnyddio unrhyw beth. Nid yw ffôn labordy ar y fersiwn diweddaraf yn disgrifio fflyd sy’n cynnwys dyfeisiau hŷn, a gall algorithm sy’n gweithio yn y labordy fethu o hyd ar y ffôn hynaf yn y maes. Tynnwch yr ystod fersiynau o reolaeth dyfeisiau yn hytrach nag o’r cof. Os yw’r fflyd yn rhychwantu sawl fersiwn, profwch yr un hynaf yn gyntaf, oherwydd dyna lle mae’r rhyngwyneb â llaw fwyaf cyfyngedig.

Cam tri: darllenwch feysydd y proffil fel pethau ar wahân

Mae sawl allwedd o’r un enw’n disgrifio gwrthrychau gwahanol. Y cyfeiriad anghysbell yw’r gwesteiwr y mae’r ffôn yn ei ddeialu. Y dynodydd anghysbell yw’r hunaniaeth IKE y mae’n disgwyl i’r porth ei chyflwyno. Mae cyfeiriad tystysgrif y llwyth yn pwyntio at gymhwyster cleient, ac mae’r maes math tystysgrif yn dewis y math a ddefnyddir ar gyfer dilysu peiriant IKEv2. Nid oes unrhyw un o’r rhain yn algorithm llofnod y CA, er bod y geiriau’n gorgyffwrdd.

Mae cyfeirlyfr llwyth IKEv2 Apple yn rhestru RSA fel y math tystysgrif diofyn gyda gwahanol fathau ECDSA penodol, ac mae’n cysylltu allwedd enw’r cyhoeddwr â gosodiadau dilysu penodol. Darllenwch y perthnasoedd hynny o’r cyfeirlyfr ar gyfer y dull a ddewiswyd gennych yn lle copïo un allwedd o ddefnydd sy’n gweithio.

Cam pedwar: gwnewch i hunaniaeth y porth gyfateb â’i dystysgrif

Defnyddiwch enw porth penodol, er enghraifft vpn.example.com a rhowch enw pwnc amgen sy’n cyfateb yn y dystysgrif gweinydd. Mae arweiniad Apple strongSwan hefyd yn disgwyl y defnydd allwedd estynedig ar gyfer dilysu gweinydd. Nid yw dewis RSA neu ECDSA yn newid dim o hynny: ni all algorithm atgyweirio enw anghyfatebol, EKU sydd ar goll na chadwyn anghyflawn.

Mae dosbarthu’r angor ymddiriedaeth yn dasg ar wahân i ddatgan yr hunaniaeth. Mae ar y ffôn angen cadwyn tystysgrifau y gall ei dilysu, ac mae angen ei gyflunio i ddisgwyl yr enw a roesoch mewn gwirionedd yn y dystysgrif.

Mae llwyfannau eraill yn cysylltu’n llwyddiannus yn dystiolaeth am reolau dilysu’r llwyfannau hynny, nid yn ganiatâd i lacio rheolau’r ffôn. Cadwch y gwiriadau’n union yr un fath ar draws cleientiaid oni bai bod gennych reswm wedi’i ddogfennu dros wahaniaethu.

Cam pump: gwahanwch hunaniaeth y cleient oddi wrth ymddiriedaeth y CA

Nid yw tystysgrif cleient a’i allwedd breifat yr un gwrthrych â’r dystysgrif CA y mae’r ffôn yn ymddiried ynddi. Nid yw bwndelu tystysgrif CA o fewn hunaniaeth PKCS#12 yn ei gosod yn awtomatig fel angor ymddiriedaeth ar bob dyfais a gefnogir, felly triniwch ddosbarthu ymddiriedaeth fel cam ar wahân gyda’i wirio ei hun.

Os yw’r dyluniad yn defnyddio EAP seiliedig ar gyfrinair yn lle hynny, mae ar y ffôn angen dilysu cyfrif bwriadedig ynghyd â dilysu gweinydd. Nid yw’r llwybr hwn yn cyfiawnhau anfon un allwedd breifat cleient a rennir at y fflyd gyfan, sef dyluniad gwahanol gyda modd methu llawer gwaeth.

Gorffennwch y cynllun gan gadw adnewyddu a dirymu mewn golwg: pwy sy’n ailddyroddi cymhwyster y cleient, sut mae’r proffil yn cael ei ddiweddaru, a sut mae ffôn coll yn cael ei dorri i ffwrdd. Cofnodwch fersiwn y proffil a’r fersiynau dyfais y gwnaethoch ddilysu yn eu herbyn, oherwydd y cofnod hwnnw sy’n gwneud y newid tystysgrif nesaf yn newid arferol.