Ταυτότητα IKE ή διεύθυνση τελικού σημείου: μην τα μπερδεύετε

Διαβάστε ένα πεδίο με ετικέτα ταυτότητα FQDN ως κυριολεκτική συμβολοσειρά, όχι ως αίτημα για το όνομα αντίστροφου DNS της δημόσιας διεύθυνσής σας. Στον αναλυτή του strongSwan είναι ακριβώς αυτό, μια συμβολοσειρά, και η ανάγνωσή του δεν το επιλύει ποτέ σε τελικό σημείο. Αυτό το γεγονός από μόνο του αφαιρεί την πιο συνηθισμένη απόσπαση όταν επιλέγετε αναγνωριστικά για έναν peer. Οι έλεγχοι παρακάτω εμποδίζουν τις τρεις τιμές που εμπλέκονται να συγχωνευτούν σε μία.

Μια ετικέτα δεν είναι αναζήτηση

Οι διεπαφές των κατασκευαστών χρησιμοποιούν λέξεις όπως FQDN και hostname χαλαρά, και η ετικέτα σε ένα κουτί δεν λέει τίποτα για την κωδικοποίηση από πίσω. Μια συσκευή που ονομάζει ένα πεδίο Client FQDN μπορεί να στείλει FQDN, συμβολοσειρά σε μορφή email ή γυμνή διεύθυνση. Αντιμετωπίστε το κείμενο και τον τύπο ως δύο ξεχωριστές αποφάσεις και καταγράψτε και τις δύο.

Τίποτα σε μια κυριολεκτική ταυτότητα δεν απαιτεί DNS. Είναι ένας ισχυρισμός που ελέγχει η άλλη πλευρά, όχι ένα όνομα που πρέπει να επιλύσει το δίκτυο.

Τρεις ξεχωριστές τιμές, γραμμένες ξεχωριστά

Τρεις εργασίες κρύβονται πίσω από μία οθόνη διαμόρφωσης, και η συγχώνευσή τους είναι το ακριβό λάθος. Μια τιμή είναι η διεύθυνση τελικού σημείου, που καθορίζει πού πάνε τα πακέτα. Μια άλλη είναι η τοπική ταυτότητα που παρουσιάζει αυτός ο peer, και η τρίτη είναι η ταυτότητα που περιμένετε από την απομακρυσμένη πλευρά πριν την επαληθεύσετε. Γράψτε τις ως τρεις γραμμές στο δελτίο αλλαγής, γιατί οτιδήποτε λιγότερο περιγράφει ένα VPN και όχι μια σχέση.

Οι ταυτότητες του παραδείγματος πρέπει να επιλεγούν και να εξουσιοδοτηθούν ως μέρος της ανάπτυξης. Είναι ισχυρισμοί που επαληθεύει ο έλεγχος ταυτότητας, όχι διαπιστευτήρια που κάνουν οποιονδήποτε peer αξιόπιστο, οπότε μια εύλογη συμβολοσειρά δεν εξουσιοδοτεί τίποτα.

Ο τύπος είναι μέρος της τιμής

Η αναφορά ταυτοτήτων του strongSwan διαχωρίζει FQDN, τιμές σε μορφή email, διευθύνσεις IP και άλλες κωδικοποιήσεις, οπότε η κωδικοποίηση μετράει όσο και οι χαρακτήρες. Δύο συσκευές μπορούν να δεχτούν το ίδιο κείμενο με διαφορετικούς τύπους και παρόλα αυτά να απορρίψουν η μία την άλλη. Μια σημείωση που καταγράφει την τιμή χωρίς τον τύπο της είναι μισή διαμόρφωση.

Ρωτήστε τον κατασκευαστή ποιον τύπο στέλνει πραγματικά η συσκευή και επιβεβαιώστε το με αποκωδικοποίηση αντί με την ετικέτα της διεπαφής. Ένας μαντεμένος τύπος είναι μια αναντιστοιχία που περιμένει την επόμενη αλλαγή.

Κάθε πλευρά πρέπει να ικανοποιεί την άλλη

Η τοπική ταυτότητα κάθε πλευράς πρέπει να περάσει την πολιτική ελέγχου ταυτότητας της άλλης πλευράς. Αυτό δεν είναι το ίδιο με το να επικολλήσετε μία συμβολοσειρά σε κάθε πεδίο ταυτότητας και στις δύο συσκευές, που είναι η συντόμευση που παράγει μια διαμόρφωση που κανείς δεν μπορεί να αποσφαλματώσει.

Ο έλεγχος ταυτότητας με πιστοποιητικό προσθέτει δικές του απαιτήσεις, επειδή η ταυτότητα του πιστοποιητικού και οι συνθήκες εμπιστοσύνης βρίσκονται δίπλα στην ταυτότητα IKE που πληκτρολογήσατε. Μια αντιστοίχιση ταυτότητας IKE μόνη της δεν εξουσιοδοτεί έναν peer με πιστοποιητικό.

Πού μετράει το DNS και τι επιβάλλει η έκδοσή σας

Ένα hostname πύλης που χρησιμοποιείται για ανακάλυψη χρειάζεται πράγματι λειτουργικό DNS, και αυτή η απαίτηση ανήκει στην εύρεση του τελικού σημείου και όχι σε οποιαδήποτε αντίστροφη αναζήτηση μιας πληκτρολογημένης ταυτότητας. Κρατήστε τα δύο χωριστά στο δελτίο, γιατί μια αποτυχία ανακάλυψης και μια αναντιστοιχία ταυτότητας διαβάζονται παρόμοια σε ένα αρχείο καταγραφής πελάτη και επισκευάζονται σε διαφορετικά σημεία.

Διαβάστε τον αναλυτή για το προϊόν και την έκδοση που εκτελείτε πραγματικά πριν αντιγράψετε σύνταξη που επιβάλλει τύπο, αφού παλαιότερες εκδόσεις του strongSwan συμπεριφέρονταν διαφορετικά και άλλοι κατασκευαστές προσθέτουν δικούς τους περιορισμούς. Όταν συγκρίνετε τα δύο άκρα, κρατήστε τέσσερα πράγματα μαζί: αναμενόμενη ταυτότητα, παρουσιαζόμενη ταυτότητα, τύπο και το σφάλμα ελέγχου ταυτότητας. Αυτό το σύνολο μετατρέπει μια αναντιστοιχία σε αποδεικτικό στοιχείο αντί για γνώμη.