iPhone IKEv2 προς RouterOS: ποιο αναγνωριστικό πάει πού
Τέσσερις ξεχωριστοί ισχυρισμοί κρίνουν μια σήραγγα IKEv2 στο iOS: η διεύθυνση κλήσης, η αναμενόμενη ταυτότητα διακομιστή, η διεκδικούμενη ταυτότητα πελάτη και το υλικό πιστοποιητικού.
Το να φτάσετε στην πύλη MikroTik τακτοποιεί μόνο το μισό της μεταφοράς μιας ανάπτυξης IKEv2 και τίποτε άλλο. Έπειτα, τέσσερις ξεχωριστοί ισχυρισμοί αποφασίζουν αν θα σχηματιστεί η σήραγγα: η διεύθυνση που καλεί το τηλέφωνο, η ταυτότητα διακομιστή που περιμένει, η ταυτότητα που διεκδικεί για τον εαυτό του και το υλικό πιστοποιητικού που στηρίζει αυτόν τον ισχυρισμό. Ελέγξτε τους με αυτή τη σειρά και σταματήστε στον πρώτο που δεν συμφωνεί με αυτό που παρουσιάζει η πύλη. Καθένας επεξεργάζεται σε διαφορετικό σημείο, γι' αυτό μια λανθασμένη επεξεργασία συνήθως μετατοπίζει την αποτυχία αντί να τη διορθώνει.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Ελέγξτε τα πεδία του προφίλ με τη σειρά που τα χρησιμοποιεί η ανταλλαγή
Η απομακρυσμένη διεύθυνση είναι ο προορισμός του πρώτου πακέτου IKE και τίποτε περισσότερο. Το απομακρυσμένο αναγνωριστικό είναι αυτό που περιμένει το τηλέφωνο να αποδείξει η πύλη ότι είναι, και είναι όνομα, όχι διαδρομή. Η συμπλήρωση και των δύο με το ίδιο όνομα κεντρικού υπολογιστή λειτουργεί όταν το πιστοποιητικό της πύλης φέρει αυτό το όνομα, και αποτυγχάνει με τρόπο που μοιάζει με πρόβλημα δρομολόγησης όταν δεν το φέρει. Διαβάστε το προφίλ ως ακολουθία ισχυρισμών και όχι ως λίστα πεδίων προς συμπλήρωση.
Το τοπικό αναγνωριστικό είναι ο ισχυρισμός του ίδιου του τηλεφώνου και πρέπει να είναι όνομα που δέχεται η καταχώριση ταυτότητας του RouterOS για το πιστοποιητικό πελάτη που παρουσιάζει το τηλέφωνο. Αν τα δύο διαφωνούν, η πύλη απορρίπτει τη σύνδεση αφού επικυρωθεί το ίδιο το πιστοποιητικό, και το αρχείο καταγραφής μοιάζει με πρόβλημα εξουσιοδότησης και όχι ονοματοδοσίας.
Ελέγξτε τα αναγνωριστικά ως προς αυτό που παρουσιάζει η πύλη
Μια καταχώριση ομοτίμου στο RouterOS ρυθμισμένη για έλεγχο ταυτότητας με πιστοποιητικό παρουσιάζει το δικό της πιστοποιητικό, και η ταυτότητά της αντλείται από αυτό το πιστοποιητικό εκτός αν έχετε ρυθμίσει διαφορετικά. Αν το απομακρυσμένο αναγνωριστικό του τηλεφώνου ονομάζει το όνομα DNS της πύλης, το πιστοποιητικό της πύλης χρειάζεται αυτό το όνομα σε θέση που θα δεχτεί το τηλέφωνο, συνήθως σε εναλλακτικό όνομα υποκειμένου. Πιστοποιητικό που εκδόθηκε για άλλο κοινό όνομα δεν θα επικυρωθεί ακόμη και αν το κλειδί και η αλυσίδα είναι άψογα.
Τα διαχειριζόμενα προφίλ Apple μπορούν επίσης να φέρουν περιορισμό ονόματος πιστοποιητικού που αξιολογείται επιπλέον των πεδίων αναγνωριστικού. Εξετάστε το ωφέλιμο φορτίο αντί να συμπεράνετε το όνομα επικύρωσης από αυτό που δείχνει η οθόνη ρυθμίσεων, γιατί τα δύο δεν είναι η ίδια ρύθμιση.
Ελέγξτε ότι το πιστοποιητικό πελάτη είναι κλειδί, όχι απλώς άγκυρα εμπιστοσύνης
Η εισαγωγή πιστοποιητικού CA δίνει στο τηλέφωνο κάτι με το οποίο να επικυρώνει την πύλη. Δεν του δίνει ταυτότητα πελάτη, και ο έλεγχος ταυτότητας με πιστοποιητικό απαιτεί το τελικό πιστοποιητικό πελάτη και το ιδιωτικό του κλειδί να παραδοθούν μαζί μέσω της εγκεκριμένης διαδρομής εγγραφής. Ένα PKCS#12 που κατασκευάστηκε χωρίς το ιδιωτικό κλειδί παράγει προφίλ που εγκαθίσταται καθαρά και δεν επαληθεύει τίποτε.
Το τελικό πιστοποιητικό πελάτη χρειάζεται επίσης ταυτότητα που περιμένει η πλευρά RouterOS, που σημαίνει ότι το υποκείμενο ή το εναλλακτικό όνομα υποκειμένου πρέπει να ταιριάζει με την αντίστοιχη διαμόρφωση ταυτότητας. Η έκδοση πιστοποιητικών πελάτη και διακομιστή από ένα CA κάνει την αλυσίδα βολική και δεν κάνει τα δύο τελικά πιστοποιητικά ανταλλάξιμα.
Ελέγξτε ότι η πολιτική του RouterOS δέχεται αυτό το όνομα
Στην πύλη, η καταχώριση ομοτίμου ορίζει τη λειτουργία ανταλλαγής και τη μέθοδο ελέγχου ταυτότητας, και η καταχώριση ταυτότητας συνδέει την αποδεκτή απομακρυσμένη ταυτότητα με πιστοποιητικό και με την πολιτική που ακολουθεί. Στο RouterOS v7 το ζεύγος αυτό εκφράζεται μέσω των καταχωρίσεων ομοτίμου και ταυτότητας του IPsec, για παράδειγμα ομότιμο IKEv2 με auth-method=digital-signature. Ελέγξτε το πραγματικό περιεχόμενο του μενού στην εγκατεστημένη έκδοσή σας και όχι έναν οδηγό γραμμένο για παλαιότερη.
Εδώ είναι επίσης το φθηνότερο σημείο για να διορθωθεί μια ασυμφωνία, γιατί η πύλη μπορεί να σας πει και την ταυτότητα που έλαβε και την ταυτότητα που ήθελε. Η διεύρυνση της αποδεκτής ταυτότητας για να σιωπήσει το σφάλμα αφαιρεί τον δεσμό που έδινε νόημα στην ανάπτυξη.
Ελέγξτε ποιο στάδιο απέτυχε πριν επεξεργαστείτε οτιδήποτε
Διαβάστε την προσπάθεια και στα δύο άκρα και ταξινομήστε την πριν αλλάξετε μια πρόταση. Ασυμφωνία πρότασης, κλειδί υπογραφής που λείπει, μη αξιόπιστος εκδότης, λάθος αναγνωριστικό ομοτίμου και απορριφθείσα εξουσιοδότηση πελάτη μοιάζουν όλα από το τηλέφωνο με νεκρή σήραγγα, και καθένα έχει διαφορετικό υπεύθυνο. Η αλλαγή και των πέντε ρυθμίσεων ταυτόχρονα εγγυάται ότι δεν θα μάθετε τίποτε από το αποτέλεσμα.
Καταγράψτε την ταυτότητα που παρουσιάστηκε, την αναμενόμενη ταυτότητα, τον εκδότη και τον σειριακό αριθμό του πιστοποιητικού και το όνομα της σχετικής πολιτικής, κρατώντας τα ιδιωτικά κλειδιά και τα μυστικά του προφίλ έξω από αυτή την καταγραφή. Όταν ο έλεγχος ταυτότητας πετύχει, δοκιμάστε μια ιδιωτική υπηρεσία και την απάντησή της, γιατί η εκχώρηση διευθύνσεων, οι επιλογείς, το DNS και η πολιτική πρόσβασης πρέπει να λειτουργούν ακόμη μετά το τέλος της ανταλλαγής IKE.