Ρύθμιση πιστοποιητικού IKEv2 στο iPhone: χειροκίνητη ή διαχειριζόμενη εγγραφή

Η επιλογή RSA επειδή το εργαλείο πιστοποιητικών της πύλης το χρησιμοποιεί εξ ορισμού είναι μια απόφαση που λαμβάνεται πριν από το ερώτημα που μετράει: πώς θα εγγραφούν αυτά τα iPhone; Μια σύνδεση που πληκτρολογεί ο χρήστης και ένα προφίλ διαμόρφωσης που παραδίδει η διαχείριση εκθέτουν διαφορετικές ρυθμίσεις, και ορισμένες επιλογές πιστοποιητικού υπάρχουν μόνο σε μία από αυτές τις διαδρομές. Αν βάλετε τη σειρά σωστά, το σχέδιο πιστοποιητικού γίνεται σύντομο· αν κάνετε λάθος, εκδίδετε διαπιστευτήριο που το τηλέφωνο δεν θα χρησιμοποιήσει. Αντιμετωπίστε τα παρακάτω βήματα ως ακολουθία, γιατί το καθένα περιορίζει τις επιλογές που έχει το επόμενο.

Πρώτο βήμα: επιλέξτε τη διαδρομή εγγραφής

Η χειροκίνητη ρύθμιση σημαίνει ότι ο χρήστης εισάγει τη διεύθυνση του διακομιστή, επιλέγει τη μέθοδο ελέγχου ταυτότητας και παρέχει όποια διαπιστευτήρια επιτρέπει η διεπαφή. Η διαχειριζόμενη εγγραφή σημαίνει ότι ένα προφίλ μεταφέρει τη διεύθυνση, τα αναγνωριστικά και μια αναφορά σε ωφέλιμο φορτίο διαπιστευτηρίων. Η διαχειριζόμενη διαδρομή μπορεί να εκφράσει συνδυασμούς που η χειροκίνητη οθόνη δεν μπορεί, γι' αυτό η απόφαση για το πιστοποιητικό πρέπει να έρθει μετά από αυτή την επιλογή και όχι πριν.

Και οι δύο διαδρομές μπορούν να επαληθεύσουν ένα τηλέφωνο. Διαφέρουν σε αυτό που μπορείτε να διαμορφώσετε και σε ποιος κατέχει την ταυτότητα, οπότε επιλέξτε μία συνειδητά αντί να αναμειγνύετε διαχειριζόμενο προφίλ με χειροκίνητη εισαγωγή διαπιστευτηρίων.

Δεύτερο βήμα: επιλέξτε αλγορίθμους για τη διαδρομή που διαλέξατε

Για iPhone που έχουν διαμορφωθεί χειροκίνητα, οι σημειώσεις διαλειτουργικότητας του strongSwan για το iOS συνιστούν πιστοποιητικό διακομιστή RSA, επειδή ο χειροκίνητος πελάτης μπορεί να μην δέχεται πιστοποιητικό διακομιστή ECDSA· οι ίδιες σημειώσεις αντιμετωπίζουν το macOS ξεχωριστά. Διαβάστε το ως καθοδήγηση για το υποστηριζόμενο σύνολο πελατών, όχι ως μόνιμο νόμο για τις συσκευές Apple. Ένα διαχειριζόμενο προφίλ έχει περισσότερο χώρο: μπορεί να επιλέξει ρητά τύπο πιστοποιητικού, συμπεριλαμβανομένης ταυτότητας πελάτη ECDSA, όταν το ωφέλιμο φορτίο και η πύλη το υποστηρίζουν και τα δύο.

Επαληθεύστε τις εκδόσεις iOS που υποστηρίζετε πραγματικά πριν αναπτύξετε οτιδήποτε. Ένα τηλέφωνο εργαστηρίου στην πιο πρόσφατη έκδοση δεν περιγράφει ένα στόλο που περιλαμβάνει παλαιότερες συσκευές, και ένας αλγόριθμος που λειτουργεί στο εργαστήριο μπορεί παρόλα αυτά να αποτύχει στο παλαιότερο τηλέφωνο στο πεδίο. Πάρτε το εύρος εκδόσεων από τη διαχείριση συσκευών και όχι από τη μνήμη σας. Αν ο στόλος καλύπτει πολλές εκδόσεις, δοκιμάστε πρώτα την παλαιότερη, γιατί εκεί η χειροκίνητη διεπαφή είναι πιο περιοριστική.

Τρίτο βήμα: διαβάστε τα πεδία του προφίλ ως ξεχωριστά πράγματα

Πολλά κλειδιά με παρόμοια ονόματα περιγράφουν διαφορετικά αντικείμενα. Η απομακρυσμένη διεύθυνση είναι ο κεντρικός υπολογιστής που καλεί το τηλέφωνο. Το απομακρυσμένο αναγνωριστικό είναι η ταυτότητα IKE που περιμένει να παρουσιάσει η πύλη. Η αναφορά πιστοποιητικού στο ωφέλιμο φορτίο δείχνει σε διαπιστευτήριο πελάτη, και το πεδίο τύπου πιστοποιητικού επιλέγει τον τύπο που χρησιμοποιείται για έλεγχο ταυτότητας μηχανής IKEv2. Κανένα από αυτά δεν είναι ο αλγόριθμος υπογραφής της CA, αν και οι λέξεις επικαλύπτονται.

Η αναφορά ωφέλιμου φορτίου IKEv2 της Apple απαριθμεί το RSA ως τον προεπιλεγμένο τύπο πιστοποιητικού με ρητές παραλλαγές ECDSA και συνδέει το κλειδί ονόματος εκδότη με συγκεκριμένες ρυθμίσεις ελέγχου ταυτότητας. Διαβάστε αυτές τις σχέσεις από την αναφορά για τη μέθοδο που επιλέξατε, αντί να αντιγράψετε ένα κλειδί από μια λειτουργική εγκατάσταση.

Τέταρτο βήμα: κάντε την ταυτότητα της πύλης να ταιριάζει με το πιστοποιητικό της

Χρησιμοποιήστε ρητό όνομα πύλης, για παράδειγμα vpn.example.com και βάλτε αντίστοιχο εναλλακτικό όνομα θέματος στο πιστοποιητικό διακομιστή. Η καθοδήγηση του strongSwan για την Apple αναμένει επίσης την εκτεταμένη χρήση κλειδιού για έλεγχο ταυτότητας διακομιστή. Η επιλογή RSA ή ECDSA δεν αλλάζει τίποτα από αυτά: ένας αλγόριθμος δεν μπορεί να διορθώσει αναντιστοιχία ονόματος, ένα EKU που λείπει ή μια ελλιπή αλυσίδα.

Η διανομή της άγκυρας εμπιστοσύνης είναι ξεχωριστή εργασία από τη δήλωση της ταυτότητας. Το τηλέφωνο χρειάζεται μια αλυσίδα πιστοποιητικών που μπορεί να επαληθεύσει, και πρέπει να διαμορφωθεί ώστε να περιμένει το όνομα που πράγματι βάλατε στο πιστοποιητικό.

Το ότι μια άλλη πλατφόρμα συνδέεται με επιτυχία είναι απόδειξη για τους κανόνες επαλήθευσης εκείνης της πλατφόρμας, όχι άδεια να χαλαρώσετε τους κανόνες του τηλεφώνου. Κρατήστε τους ελέγχους ίδιους σε όλους τους πελάτες, εκτός αν έχετε τεκμηριωμένο λόγο να διαφέρουν.

Πέμπτο βήμα: χωρίστε την ταυτότητα του πελάτη από την εμπιστοσύνη στην CA

Ένα πιστοποιητικό πελάτη και το ιδιωτικό του κλειδί δεν είναι το ίδιο αντικείμενο με το πιστοποιητικό CA που εμπιστεύεται το τηλέφωνο. Το να ενσωματώσετε ένα πιστοποιητικό CA μέσα σε ταυτότητα PKCS#12 δεν το εγκαθιστά αυτόματα ως άγκυρα εμπιστοσύνης σε κάθε υποστηριζόμενη συσκευή, οπότε αντιμετωπίστε τη διανομή εμπιστοσύνης ως δικό της βήμα με δικό του έλεγχο.

Αν το σχέδιο χρησιμοποιεί αντ' αυτού EAP με κωδικό πρόσβασης, το τηλέφωνο χρειάζεται τον προβλεπόμενο έλεγχο ταυτότητας λογαριασμού συν την επαλήθευση διακομιστή. Αυτή η διαδρομή δεν δικαιολογεί την αποστολή ενός κοινόχρηστου ιδιωτικού κλειδιού πελάτη σε ολόκληρο τον στόλο, που είναι διαφορετικό σχέδιο με πολύ χειρότερο τρόπο αποτυχίας.

Ολοκληρώστε το σχέδιο έχοντας κατά νου την ανανέωση και την ανάκληση: ποιος επανεκδίδει το διαπιστευτήριο του πελάτη, πώς ενημερώνεται το προφίλ και πώς αποκόπτεται ένα χαμένο τηλέφωνο. Καταγράψτε την έκδοση του προφίλ και τις εκδόσεις συσκευών με τις οποίες επαληθεύσατε, γιατί αυτό το αρχείο κάνει την επόμενη αλλαγή πιστοποιητικού μια συνηθισμένη εργασία.