IKEv2 διεύθυνση διακομιστή έναντι ταυτότητας: τι ελέγχει πραγματικά ο πελάτης

Μια πύλη που αλλάζει διεύθυνση μπορεί να συνεχίσει να λειτουργεί ενώ η ίδια πύλη πίσω από ένα νέο πιστοποιητικό σταματάει και συμβαίνει και το αντίστροφο. Η διεύθυνση λέει στον πελάτη πού να στείλει πακέτα, η επαληθευμένη ταυτότητα λέει στον πελάτη εάν ο ομότιμος που απαντά είναι αυτός που πρέπει να εμπιστεύεται. Το IKEv2 τα διατηρεί ως δύο ξεχωριστά πεδία, κάτι που είναι χρήσιμο όταν σταματήσετε να τα αντιμετωπίζετε ως μία συμβολοσειρά. Επίσης, έχουν ρυθμιστεί σε διαφορετικά σημεία, οπότε το ένα μπορεί να είναι σωστό ενώ το άλλο λάθος.

Ελέγξτε τα με αυτή τη σειρά και σταματήστε στην πρώτη αναντιστοιχία, γιατί οι μετέπειτα έλεγχοι προϋποθέτουν ότι οι προηγούμενοι έχουν περάσει.

Πρώτον, ποια τιμή είναι η διεύθυνση

Η διεύθυνση σύνδεσης είναι ό,τι καλεί ο πελάτης: μια IP, ένα όνομα DNS που αναλύεται σε ένα ή μια διεπαφή με ισορροπία φορτίου. Αυτά είναι πληροφορίες μεταφοράς και τίποτα περισσότερο. Η ταυτότητα κινείται στο IKEv2 ωφέλιμο φορτίο ID και στη συνέχεια αντιστοιχίζεται με το πιστοποιητικό του ομοτίμου. Ένα όνομα DNS στο πλαίσιο διεύθυνσης δεν γίνεται η αναμενόμενη ταυτότητα και μια ακατέργαστη IP δεν γίνεται η ταυτότητα μόνο και μόνο επειδή η υποδοχή είναι συνδεδεμένη σε αυτό.

Με όρους strongSwan, η διεύθυνση είναι right ή left και η αναμενόμενη ταυτότητα είναι rightid ή leftid, και αυτό περιγράφει η τεκμηρίωση διαμόρφωσης IKEv2. Εάν έχετε επεξεργαστεί μόνο τη διεύθυνση, έχετε διαμορφώσει το ήμισυ του ζεύγους.

Δεύτερον, τι μπορεί να αποδείξει το πιστοποιητικό

Η ταυτότητα έχει έναν τύπο και το πιστοποιητικό πρέπει να φέρει ένα αντίστοιχο όνομα. Μια ταυτότητα DNS ικανοποιείται από μια καταχώρηση dNSName στην επέκταση του θέματος εναλλακτικού ονόματος, μια ταυτότητα IP χρειάζεται μια καταχώρηση iPAddress. Ένα πιστοποιητικό που εκδόθηκε για vpn.example.com δεν αποδεικνύει τίποτα σχετικά με την κυριολεκτική διεύθυνση 203.0.113.10 και ένα πιστοποιητικό που εκδόθηκε για αυτήν τη διεύθυνση δεν αποδεικνύει τίποτα σχετικά με το όνομα. Επομένως, η επανέκδοση για διαφορετικό όνομα δεν αποτελεί εναλλακτική επιλογή, ακόμη και όταν το ίδιο κλειδί και το CA επαναχρησιμοποιούνται.

Οι σύγχρονοι πελάτες αγνοούν το κοινό όνομα όταν υπάρχει ένα εναλλακτικό όνομα θέματος και πολλοί το αγνοούν εντελώς. Εάν η λίστα SAN δεν περιέχει την τιμή που ελέγχει ο πελάτης, η χειραψία αποτυγχάνει αφού το πιστοποιητικό έχει ήδη γίνει αποδεκτό ως αξιόπιστο, γι' αυτό το αρχείο καταγραφής διαβάζεται ως σφάλμα ταυτότητας και όχι ως σφάλμα εμπιστοσύνης.

Τρίτον, πώς κάθε πελάτης δηλώνει την προσδοκία

Το Windows παίρνει το όνομα διακομιστή ή τη διεύθυνση που πληκτρολογήσατε και απαιτεί το πιστοποιητικό να ταιριάζει με αυτό, επομένως η πληκτρολόγηση μιας IP δημιουργεί μια προσδοκία IP. Ο πελάτης IKEv2 του Android συμπεριφέρεται με τον ίδιο τρόπο και και οι δύο απορρίπτουν ένα έγκυρο, δημόσια αξιόπιστο πιστοποιητικό που ονομάζει διαφορετικό κεντρικό υπολογιστή. Ένα προφίλ μπορεί να αρχίσει να αποτυγχάνει απλώς και μόνο επειδή κάποιος αντικατέστησε το όνομα κεντρικού υπολογιστή με τη διεύθυνσή του κατά τη διάρκεια μιας μετεγκατάστασης. Δείτε τι ζήτησε ο πελάτης προτού δείτε τι περιέχει το πιστοποιητικό.

Στο strongSwan η προσδοκία είναι σαφής: ορίστε το rightid στην ταυτότητα που πραγματικά παρουσιάζει ο διακομιστής, η οποία μπορεί να διαφέρει από τη δεξιά. Η ρύθμιση του σε %any αποδέχεται οτιδήποτε προσφέρει ο ομότιμος και αφαιρεί ακριβώς την επιταγή που προσπαθείτε να κρατήσετε.

Τέταρτον, διαχωρίστε τη σύνδεση χρήστη από την ταυτότητα ομοτίμων

Ο έλεγχος ταυτότητας EAP και η ταυτότητα διακομιστή απαντούν σε διαφορετικές ερωτήσεις. Μια ταυτότητα EAP όπως [email protected] λέει ποιος είναι ο χρήστης, αφού ο πελάτης αποφασίσει ότι ο διακομιστής είναι ο σωστός. Η περιστροφή αυτού του κωδικού πρόσβασης δεν μπορεί να διορθώσει μια αναντιστοιχία ταυτότητας ομοτίμων, επειδή η σύνδεση δεν φτάνει ποτέ στο στάδιο σύνδεσης χρήστη.

Μια απολυμανθείσα αναφορά θα πρέπει να ονομάζει και τα δύο: την ταυτότητα που ανέμενε ο πελάτης, την ταυτότητα που παρουσίασε ο διακομιστής και τις καταχωρίσεις SAN του πιστοποιητικού.

Πέμπτον, αλλάξτε το μέσω ενός επαληθευμένου καναλιού

Όταν η πύλη κινείται νόμιμα, ενημερώστε πρώτα τη διεύθυνση και αφήστε την ταυτότητα ήσυχη, γιατί έτσι το IKEv2 χειρίζεται καλά. Όταν αλλάξει η ίδια η ταυτότητα, αντιμετωπίστε το ως συμβάν εμπιστοσύνης και λάβετε τη νέα τιμή από μια πηγή που ήδη εμπιστεύεστε, όχι από το τελικό σημείο που αποτυγχάνει αυτήν τη στιγμή. Ένα μήνυμα που παραδίδεται μέσω της σύνδεσης που προσπαθείτε να επικυρώσετε δεν αποτελεί απόδειξη για αυτήν τη σύνδεση.

Καταγράψτε την τελική διεύθυνση, την ταυτότητα και τη λίστα SAN μαζί στις σημειώσεις προφίλ. Το επόμενο άτομο που θα αγγίξει το πιστοποιητικό θα δει σε ποιο από τα τρία επιτρέπεται να μετακινηθεί.