iPhone IKEv2 i RouterOS: pa adnabydydd sy'n mynd ble
Mae pedair hawlfëedd ar wahân yn penderfynu twnnel IKEv2 ar iOS: y cyfeiriad a ddeialir, hunaniaeth y gweinydd a ddisgwylir, yr hunaniaeth gleient a hawlir a deunydd y dystysgrif.
Mae cyrraedd porth MikroTik yn setlo hanner trafnidiaeth defnydd IKEv2 yn unig, a dim arall. Yna mae pedair hawlfaeth ar wahân yn penderfynu a ffurfir y twnnel: y cyfeiriad y mae'r ffôn yn ei ddeialu, hunaniaeth y gweinydd y mae'n ei disgwyl, yr hunaniaeth y mae'n ei hawlio iddi'i hun, a'r deunydd tystysgrif sy'n cefnogi'r hawlio hwnnw. Gwiriwch nhw yn y drefn honno, a stopiwch ar yr un cyntaf nad yw'n cytuno â'r hyn y mae'r porth yn ei gyflwyno. Mae pob un yn olygadwy mewn man gwahanol, a dyna pam mae golygu anghywir fel arfer yn symud y methiant yn lle ei drwsio.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Gwiriwch feysydd y proffil yn y drefn y mae'r cyfnewid yn eu defnyddio
Y cyfeiriad pell yw cyrchfan y pecyn IKE cyntaf, a dim mwy. Yr adnabydydd pell yw'r hyn y mae'r ffôn yn disgwyl i'r porth brofi mai ef yw, ac enw ydyw, nid llwybr. Mae llenwi'r ddau â'r un enw gwesteiwr yn gweithio pan fo tystysgrif y porth yn cario'r enw hwnnw, ac yn methu mewn ffordd sy'n edrych fel problem lwybreiddio pan nad yw. Darllenwch y proffil fel dilyniant o hawlfëydd, nid fel rhestr o feysydd i'w llenwi.
Yr adnabydydd lleol yw hawlio'r ffôn ei hun, ac mae'n rhaid iddo fod yn enw y mae cofnod hunaniaeth RouterOS yn ei dderbyn ar gyfer tystysgrif y cleient y mae'r ffôn yn ei chyflwyno. Os nad yw'r ddau yn cytuno, mae'r porth yn gwrthod y cysylltiad ar ôl i'r dystysgrif hun ddilysu, ac mae'r log yn edrych fel problem awdurdodi yn hytrach na phroblem enwi.
Gwiriwch yr adnabyddwyr yn erbyn yr hyn y mae'r porth yn ei gyflwyno
Mae cofnod cymar RouterOS a ffurfweddir ar gyfer dilysu tystysgrif yn cyflwyno ei dystysgrif ei hun, ac mae ei hunaniaeth yn deillio o'r dystysgrif honno oni bai eich bod wedi ffurfweddu fel arall. Os yw adnabydydd pell y ffôn yn enwi enw DNS y porth, mae ar dystysgrif y porth angen yr enw hwnnw mewn man y bydd y ffôn yn ei dderbyn, fel arfer enw amgen y pwnc. Ni fydd tystysgrif a gyhoeddwyd ar gyfer enw cyffredin gwahanol yn dilysu, hyd yn oed pe bai'r allwedd a'r gadwyn yn berffaith.
Gall proffiliau Apple a reolir hefyd gario cyfyngiad enw tystysgrif a werthir yn ychwanegol at y meysydd adnabydydd. Archwiliwch y llwyth tâl yn lle casglu'r enw dilysu o'r hyn y mae'r sgrîn gosodiadau yn ei ddangos, oherwydd nid yw'r ddau yr un gosodiad.
Gwiriwch mai allwedd yw tystysgrif y cleient, nid angor ymddiriedaeth yn unig
Mae mewnforio tystysgrif CA yn rhoi rhywbeth i'r ffôn ddilysu'r porth ag ef. Nid yw'n rhoi hunaniaeth cleient i'r ffôn, ac mae dilysu tystysgrif angen tystysgrif deilen y cleient a'i allwedd breifat gyda'i gilydd drwy'r llwybr cofrestru a gymeradwywyd. Mae PKCS#12 a adeiladwyd heb yr allwedd breifat yn cynhyrchu proffil sy'n gosod yn lân ac yn dilysu dim.
Mae ar y ddalen gleient hefyd angen hunaniaeth y mae ochr RouterOS yn ei disgwyl, sy'n golygu bod yn rhaid i'r pwnc neu enw amgen y pwnc gyd-fynd â'r ffurfweddiad hunaniaeth cyfatebol. Mae cyhoeddi tystysgrifau cleient a gweinydd o un CA yn gwneud y gadwyn yn gyfleus ac nid yw'n gwneud y ddwy ddalen yn gyfnewidiol.
Gwiriwch fod polisi RouterOS yn derbyn yr enw hwnnw
Ar y porth, mae'r cofnod cymar yn gosod y modd cyfnewid a'r dull dilysu, ac mae'r cofnod hunaniaeth yn clymu'r hunaniaeth bell a dderbynnir i dystysgrif ac i'r polisi sy'n dilyn. Yn RouterOS v7 mynegir y pâr hwnnw drwy gofnodion cymar a hunaniaeth IPsec, er enghraifft cymar IKEv2 gyda auth-method=digital-signature. Gwiriwch gynnwys gwirioneddol y ddewislen ar eich rhyddhau sydd wedi'i osod yn lle taith gerdded a ysgrifennwyd ar gyfer un hŷn.
Dyma hefyd lle mae anghysondeb yn rhataf i'w drwsio, oherwydd gall y porth ddweud wrthych yr hunaniaeth a dderbyniodd a'r hunaniaeth y mynnai ei chael. Mae lledu'r hunaniaeth a dderbynnir i dawelu'r gwall yn tynnu'r clymu a oedd yn rhoi ystyr i'r defnydd.
Gwiriwch pa gam a fethodd cyn i chi olygu unrhyw beth
Darllenwch yr ymgais ar y ddau ben a'i dosbarthu cyn newid cynnig. Mae anghysondeb cynnig, allwedd lofnodi ar goll, cyhoeddwr anniolladwy, adnabydydd cymar anghywir ac awdurdodi cleient a wrthodwyd i gyd yn edrych fel twnnel marw o'r ffôn, ac mae gan bob un berchemnog gwahanol. Mae newid y pum gosodiad i gyd ar unwaith yn gwarantu na ddysgwch ddim o'r canlyniad.
Cofnodwch yr hunaniaeth a gyflwynwyd, yr hunaniaeth a ddisgwylir, cyhoeddwr a rhif cyfresol y dystysgrif, ac enw'r polisi perthnasol, gan gadw allweddi preifat a chyfrinachau proffil allan o'r cofnod hwnnw. Unwaith y bydd dilysu'n llwyddo, profwch wasanaeth preifat a'i ateb, oherwydd mae'n rhaid i neilltuo cyfeiriadau, detholwyr, DNS a pholisi mynediad weithio o hyd ar ôl i'r cyfnewid IKE orffen.