strongSwan EAP: hunaniaeth IKE a’r enw AAA disgwyliedig

Gall dilysu EAP dros IKEv2 ofyn i gleient ddilysu dau enw gweinydd gwahanol mewn un cysylltiad. Mae’r porth sy’n terfynu IKE yn cyflwyno un hunaniaeth, a gall y cefndir EAP sy’n terfynu’r gyfnewid TLS fewnol gyflwyno un arall. Yn strongSwan maent yn byw mewn blociau cyfluniad gwahanol, ac mae rhoi enw yn y bloc anghywir yn cynhyrchu methiant sy’n edrych fel problem dystysgrif. Darllen pa ddilysiad a fethodd yw’r hyn sy’n dweud wrthych pa floc i’w olygu.

Un cysylltiad, dwy hunaniaeth gweinydd

Mae’r hunaniaeth gyntaf yn perthyn i’r gyfnewid IKE. Mae’r cleient yn deialu cyfeiriad ac yn disgwyl i’r gymnydog brofi hunaniaeth benodol, fel arfer yr enw yn nhystysgrif y porth.

Mae’r ail yn perthyn i EAP. Gyda PEAP neu TTLS, mae’r cleient yn adeiladu twnnel TLS i’r gweinydd dilysu y tu ôl i’r IKE SA, ac mae’r gweinydd mewnol hwnnw’n cyflwyno ei dystysgrif ei hun. Pan fo’r cefndir yn westeiwr ar wahân, mae ei enw’n wahanol i enw’r porth. Mae cleient sy’n gwirio’r enw cyntaf yn unig yn derbyn beth bynnag a haera’r ail. Ac mae cleient wedi’i gyflunio ag un enw yn y ddau le yn methu cyn gynted ag y bydd y ddau yn wir yn gwahaniaethu.

Daw’r ddau enw o gyfluniad y gweithredwr, nid o’r dystysgrif sy’n gwneud i’r gwall ddiflannu. Mae gofyn i’r gweithredwr am fanylion y defnydd yn gyflymach na dyfalu dau enw gwesteiwr.

Pa faes sy’n perthyn i ba haen

Yn swanctl, mae’r cyfeiriad a’r hunaniaeth IKE yn osodiadau ar wahân, a’r hunaniaeth EAP yn drydedd.

Mae’r cyfeiriad pell yn dewis i ble mae pecynnau’n mynd, ac mae’r hunaniaeth bell yn nodi beth y mae’n rhaid i’r gymnydog ei brofi. Ysgrifennir y disgwyliad EAP o dan y bloc local, oherwydd ei fod yn disgrifio cyfnewid EAP y cleient hwn yn hytrach nag ymddygiad IKE’r gymnydog. Y lleoliad hwnnw yw’r rhan y mae pobl yn ei darllen yn anghywir. Mae’r enw’n sefyll yng nghyfluniad y cleient tra’n disgrifio gweinydd, a dyna’n union pam ei fod yn edrych allan o le.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Nid yw’r darn hwnnw’n gysylltiad cyflawn; mae angen deunydd ymddiriedaeth, cymwysterau a pholisïau cysylltiadau plentyn o hyd. Byddai ei gopïo’n llythrennol i ffeil weithio yn disodli osodiadau sydd eu hangen arnoch o hyd.

Pam mae aaa_id yn byw o dan local

Mae’r bloc local yn disgrifio beth mae’r pen hwn yn ei wneud yn ystod dilysu, gan gynnwys y dull y bydd yn ei ddefnyddio a’r hunaniaeth y mae’n ei disgwyl i’r pen arall ei chyflwyno ar gyfer y dull hwnnw. Nid oes dim ynddo’n honni bod y gweinydd AAA yn rhedeg ar yr un peiriant.

Mae’r rhagosodiad yn gwneud y trap yn fwy llym. Pan na osodir gwerth penodol, mae’r hunaniaeth AAA ddisgwyliedig yn dilyn yr hunaniaeth bell, felly mae defnydd ag un enw’n gweithio ac yn cuddio’r gwahaniaeth. Dim ond pan fo’r defnydd EAP yn wir yn terfynu yn rhywle arall y mae gwerth penodol yn bwysig. Mae ei osod i enw gwahanol heb y rheswm hwnnw’n creu methiant na all y gweithredwr ei atgynhyrchu. Darllenwch y defnydd cyn dyfeisio ail enw.

Cadwch y gwerth yn union yr hyn a haera tystysgrif y cefndir mewn gwirionedd, gan gynnwys ffurf yr enw. Mae dot olaf neu gard gwyllt nad yw’n cwmpasu’r gwesteiwr yn ddigon i’r gwiriad fethu.

Rhaglenni blaen na allant fynegi’r rhaniad

Nid yw proffil NetworkManager yr un rhyngwyneb cyfluniad â swanctl. Mae’r ategyn y tu ôl iddo’n datgelu set gulach o reolyddion hunaniaeth, ac mae pa rai sy’n bodoli’n dibynnu ar y fersiwn sydd wedi’i osod.

Mae hynny’n bwysig pan fo’r defnydd wir angen dau enw. Gall maes wedi’i labelu’n hunaniaeth gweinydd gyflunio un haen ac nid y llall, felly gall proffil edrych yn gywir ac eto methu’r gwiriad mewnol. Gwiriwch beth mae’r ategyn sydd wedi’i osod yn ei gefnogi cyn tybio y gall y proffil fynegi’r trefniant. Os na all, mae’r dewis yn perthyn i’r gweithredwr: llwybr darparu gwahanol, neu ddyluniad hunaniaeth gweinydd wedi’i gywiro. Mae gwanhau PEAP neu dderbyn unrhyw enw yn newid y polisi dilysu yn lle ei drwsio.

Nid yw’r dewis arall yn rhywbeth i’w ddyfeisio ar y cleient. Gofynnwch am y trefniant a gefnogir yn ysgrifenedig, yna cadwch yr ateb hwnnw gyda’r proffil.

Gwahaniaethwch gamgyfateb hunaniaeth oddi wrth dystysgrif wedi dod i ben

Mae camgyfateb enw a thystysgrif wedi dod i ben yn fethiannau gwahanol, ac mae’r log yn eu gwahaniaethu. Darllenwch y neges cyn penderfynu pa faes i’w newid.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Nid yw gosod yr hunaniaeth AAA arfaethedig yn adnewyddu tystysgrif nac yn sefydlu ymddiriedaeth yn ei hardystiwr, ac nid yw adnewyddu tystysgrif yn cywiro enw disgwyliedig anghywir. Darllenwch pa ddilysiad a fethodd cyn golygu maes hunaniaeth arall. Yna ailgargwch y cyfluniad a chadarnhewch fod y cysylltiad wedi’i lwytho’n dangos y gwerth a osodwyd gennych, oherwydd nid yw ffeil wedi’i golygu na lwythwyd erioed yn newid dim. Ysgrifennwch y ddau enw a’u haenau yn y nodiadau defnydd.