Πιστοποιητικό IKEv2 και SAN: γιατί αποτυγχάνει ο έλεγχος ταυτότητας

Η αλυσίδα του πιστοποιητικού σας καταλήγει σε έμπιστη CA, οι ημερομηνίες είναι εντάξει, και ο ομότιμος εξακολουθεί να αρνείται να ολοκληρώσει τη φάση 1 με σφάλμα ταυτότητας. Η προσβασιμότητα και μια έγκυρη υπογραφή είναι μόνο το μισό από όσα ελέγχει ένας πελάτης IKEv2. Το άλλο μισό είναι αν η ταυτότητα που περιμένει εμφανίζεται στο πιστοποιητικό στο σωστό πεδίο, και αυτή την προσδοκία τη θέτει το προφίλ, όχι το όνομα αρχείου του πιστοποιητικού.

Το σύμπτωμα έχει πάντα την ίδια μορφή

Ένα προφίλ σύνδεσης αλλάζει από όνομα κεντρικού υπολογιστή σε διεύθυνση IP, ή ανανεώνεται από πιστοποιητικό που έφερε όνομα DNS σε ένα που φέρει μόνο διευθύνσεις, και η σήραγγα σταματά να διαπραγματεύεται. Τίποτα στη διαδρομή δικτύου δεν άλλαξε. Ο πελάτης φτάνει στον ομότιμο, λαμβάνει πιστοποιητικό και απορρίπτει την ταυτότητα του ομοτίμου επειδή το αναγνωριστικό που του είπαν να περιμένει δεν εκπροσωπείται σε πεδίο που δέχεται. Οι ανανεώσεις είναι το συνηθισμένο έναυσμα, αφού το πιστοποιητικό αντικατάστασης συχνά προέρχεται από διαφορετικό πρότυπο από εκείνο που αντικαθιστά.

Στη συνέχεια και οι δύο πλευρές καταγράφουν κάτι άχρηστο, γι' αυτό η αποτυχία αναφέρεται συνήθως ως πρόβλημα πιστοποιητικού. Το αρχείο καταγραφής του πελάτη μπορεί να ονομάζει την ταυτότητα που ήθελε, και αυτό το όνομα είναι το στοιχείο που ψάχνετε, όχι η ημερομηνία λήξης.

Αντιστοιχίστε τον τύπο αναγνωριστικού, όχι μόνο την τιμή

Ένα SAN dNSName και ένα SAN iPAddress είναι διαφορετικά πεδία με διαφορετικούς κανόνες αντιστοίχισης, οπότε ένα πιστοποιητικό που φέρει το 203.0.113.10 ως συμβολοσειρά DNS δεν ικανοποιεί πελάτη που περιμένει ταυτότητα IP. Οι σύγχρονοι επικυρωτές αγνοούν σε μεγάλο βαθμό το κοινό όνομα, οπότε η φιλική ετικέτα στις λεπτομέρειες του πιστοποιητικού δεν αποδεικνύει τίποτα για το τι θα ταιριάξει. Αν ένα όνομα κεντρικού υπολογιστή αντικαταστάθηκε από διεύθυνση κατά την αντιμετώπιση προβλημάτων, υποθέστε ότι η αναμενόμενη ταυτότητα μετακινήθηκε μαζί του μέχρι να το ελέγξετε. Συγκρίνετε τη συμβολοσειρά στο προφίλ με τη συμβολοσειρά στο SAN χαρακτήρα προς χαρακτήρα, γιατί αρκεί μια τελεία στο τέλος ή ένα περιττό κενό.

Οι χαρακτήρες μπαλαντέρ είναι ευκολία μόνο για DNS και ακολουθούν τους δικούς τους κανόνες αντιστοίχισης, που είναι ένας ακόμη λόγος να μην βασίζεται ποτέ σε αυτούς ένα προφίλ βασισμένο σε IP.

Βρείτε πού αποθηκεύει κάθε πελάτης την προσδοκία

Στο strongSwan η τιμή που συγκρίνεται με το πιστοποιητικό προέρχεται από τη ρύθμιση ταυτότητας ομοτίμου: rightid στην κλασική διαμόρφωση ή το id μιας ενότητας απομακρυσμένης σύνδεσης στο swanctl. Η τεκμηρίωση για τη διαλειτουργικότητα με Apple IKEv2 είναι χρήσιμη εδώ γιατί εξηγεί τις συμβάσεις ταυτότητας που χρησιμοποιεί ένας πελάτης καθοδηγούμενος από προφίλ, και αυτές οι συμβάσεις εξηγούν μια κατηγορία αναντιστοιχίας που στο δίκτυο φαίνεται τυχαία.

Τα προφίλ διαμόρφωσης της Apple φέρουν πεδίο απομακρυσμένου αναγνωριστικού, και η τιμή εκεί είναι αυτό που ελέγχει ο πελάτης, όχι η διεύθυνση διακομιστή στις ρυθμίσεις σύνδεσης. Οι πελάτες των Windows και των συσκευών έχουν ο καθένας το δικό του πεδίο με τη δική του προεπιλογή, και η προεπιλογή συχνά ακολουθεί τη διεύθυνση που πληκτρολογήσατε. Όταν δύο πεδία διαφωνούν, κερδίζει εκείνο που διαβάζει πραγματικά ο πελάτης, και σπάνια είναι αυτό που επεξεργαστήκατε.

Επιδιορθώστε το προφίλ ή το πιστοποιητικό σκόπιμα

Εξετάστε το πιστοποιητικό του ομοτίμου με εγκεκριμένα εργαλεία και καταγράψτε τις καταχωρίσεις SAN με τους τύπους τους πριν αλλάξετε οτιδήποτε. Αυτή η εξέταση δεν απαιτεί ιδιωτικό κλειδί ούτε μεταφόρτωση, και λύνει το ζήτημα σε δευτερόλεπτα. Αν η ανάπτυξη προορίζει μία ταυτότητα DNS, το πιστοποιητικό πρέπει να τη φέρει ως καταχώριση dNSName, και αν προορίζει διεύθυνση, το πιστοποιητικό χρειάζεται καταχώριση iPAddress για ακριβώς αυτή τη διεύθυνση.

Όταν το πιστοποιητικό είναι λάθος, ζητήστε από τον χειριστή διορθωμένο με το συγκεκριμένο αναμενόμενο αναγνωριστικό. Όταν το προφίλ είναι λάθος, διορθώστε το προφίλ και αφήστε το πιστοποιητικό ήσυχο. Η απενεργοποίηση της επικύρωσης ταυτότητας κάνει το σφάλμα να εξαφανιστεί και αφαιρεί τον έλεγχο ότι η σήραγγα μιλάει με τον ομότιμο που σκοπεύατε.

Τεκμηριώστε την αναμενόμενη ταυτότητα ανά πλατφόρμα πελάτη, γιατί μια τιμή που ένας πελάτης παράγει αυτόματα μπορεί να χρειάζεται να είναι ρητή σε άλλον.

Δώστε στο αίτημα ανανέωσης τέσσερα γεγονότα

Σημειώστε το αναμενόμενο αναγνωριστικό και τον τύπο του, τις καταχωρίσεις SAN που έχει πραγματικά το τρέχον πιστοποιητικό, τον πελάτη και την έκδοση που κάνουν τον έλεγχο, και το ακριβές κείμενο του σφάλματος. Ένα αίτημα ανανέωσης χτισμένο από αυτές τις τέσσερις γραμμές παίρνει το σωστό πιστοποιητικό με την πρώτη, αντί για άλλο με το ίδιο γνώριμο όνομα αρχείου.