IKE identiteet või lõpp-punkti aadress: ära aja neid segi
FQDN-tüüpi IKE identiteet on sõnasõnaline autentimisväärtus, mitte pöörd-DNS päring. Hoia lõpp-punkti aadress, kohalik identiteet ja oodatav peer eraldi.
Loe FQDN identiteediks märgistatud välja sõnasõnalise stringina, mitte päringuna sinu avaliku aadressi pöörd-DNS nime järele. strongSwan parseris on see täpselt see, string, ja selle lugemine ei lahenda seda kunagi lõpp-punktiks. See asjaolu üksi kõrvaldab kõige tavalisema segaja, kui valid peerile identifikaatoreid. Allolevad kontrollid hoiavad kolme asjassepuutuvat väärtust üheks sulamast.
Silt ei ole päring
Tootjate liidesed kasutavad sõnu nagu FQDN ja hostname lõdvalt ning karbil olev silt ei ütle midagi selle taga oleva kodeeringu kohta. Seade, mis nimetab välja Client FQDN, võib saata FQDN-i, e-kirja kujulise stringi või palja aadressi. Käsitle teksti ja tüüpi kahe eraldi otsusena ning registreeri mõlemad.
Sõnasõnaline identiteet ei vaja DNS-i. See on väide, mida teine pool kontrollib, mitte nimi, mida võrk peab lahendama.
Kolm eraldi väärtust, eraldi kirjutatud
Ühe konfiguratsiooniekraani taga on kolm tööd ja nende ühendamine on kallis viga. Üks väärtus on lõpp-punkti aadress, mis otsustab, kuhu paketid lähevad. Teine on kohalik identiteet, mida see peer esitab, ja kolmas on identiteet, mida ootad kaugemalt poolelt enne selle autentimist. Kirjuta need muudatuse piletile kolme reana, sest miski vähem kirjeldab VPN-i, mitte suhet.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Näidisidentiteedid tuleb valida ja volitada juurutamise osana. Need on väited, mida autentimine kontrollib, mitte mandaadid, mis teeks ükskõik millise peeri usaldusväärseks, seega usutavalt näiv string ei volita midagi.
Tüüp on osa väärtusest
Viide strongSwan identiteetidele eristab FQDN-i, e-kirja kujulisi väärtusi, IP-aadresse ja muid kodeeringuid, seega kodeering loeb sama palju kui tähemärgid. Kaks seadet võivad aktsepteerida sama teksti erinevate tüüpide all ja siiski üksteist tagasi lükata. Märge, mis registreerib väärtuse ilma selle tüübita, on pool konfiguratsiooni.
Küsi tootjalt, millist tüüpi seade tegelikult saadab, ja kinnita see dekodeerimisega, mitte liidese sildiga. Oletatud tüüp on lahknevus, mis ootab järgmist muudatust.
Kumbki pool peab teist rahuldama
Kummagi poole kohalik identiteet peab läbima teise poole autentimispoliitika. See ei ole sama, mis ühe stringi kleepimine igasse identiteedivälja mõlemas seadmes, mis on lühike tee konfiguratsioonini, mida keegi ei suuda siluda.
Sertifikaadi autentimine lisab omad nõuded, sest sertifikaadi identiteet ja usaldustingimused seisavad sinu sisestatud IKE identiteedi kõrval. Ainult IKE identiteedi kattumine ei volita sertifikaadiga peeri.
Kus DNS loeb ja mida sinu versioon nõuab
Avastamiseks kasutatav lüüsihostname vajab tõesti töötavat DNS-i ja see nõue kuulub lõpp-punkti leidmise juurde, mitte sisestatud identiteedi pöördpäringu juurde. Hoia need piletis eraldi, sest avastamise tõrge ja identiteedi lahknevus loevad kliendilogis sarnaselt ning parandatakse erinevates kohtades.
Loe selle toote ja versiooni parserit, mida tegelikult jooksutad, enne kui kopeerid süntaksit, mis sunnib tüübi, sest vanemad strongSwan väljalasked käitusid teisiti ja teised tootjad lisavad omad piirangud. Kui võrdled kahte otsa, hoia koos neli asja: oodatav identiteet, esitatav identiteet, tüüp ja autentimistõrge. See kogum muudab lahknevuse tõendiks, mitte arvamuseks.