strongSwan EAP: IKE identiteet versus oodatav AAA nimi

strongSwan EAP klient saab valideerida kahte serverinime. remote.id katab IKE-lüüsi ja local.aaa_id katab EAP-serveri; need ei ole üks väli.

EAP autentimine üle IKEv2 võib nõuda kliendilt kahe erineva serverinime valideerimist ühes ühenduses. IKE-d lõpetav lüüs esitab ühe identiteedi, ja sisemise TLS-vahetuse lõpetav EAP-taustsüsteem võib esitada teise. strongSwanis asuvad need eri konfiguratsiooniplokkides, ja nime panek valesse plokki tekitab tõrke, mis näeb välja nagu sertifikaadiprobleem. Just see, milline valideerimine ebaõnnestus, ütleb, millist plokki muuta.

Üks ühendus, kaks serveri identiteeti

Esimene identiteet kuulub IKE-vahetusele. Klient valib aadressi ja ootab, et vastaspool tõestab kindlat identiteeti, tavaliselt lüüsi sertifikaadis olevat nime.

Teine kuulub EAP-le. PEAP või TTLS-i korral ehitab klient TLS-tunneli autentimisserverini IKE SA sees, ja see sisemine server esitab oma sertifikaadi. Kui taustsüsteem on eraldi host, erineb selle nimi lüüsi omast. Klient, kes kontrollib ainult esimest nime, aktsepteerib kõike, mida teine väidab. Ja klient, mis on seatud ühe nimega mõlemas kohas, ebaõnnestub kohe, kui need kaks tõesti erinevad.

Mõlemad nimed tulevad operaatori konfiguratsioonist, mitte sertifikaadist, mis vea kaotab. Operaatorilt juurutuse üksikasjade küsimine on kiirem kui kahe hostinime oletamine.

Milline väli kuulub millisesse kihti

swanctlis on aadress ja IKE identiteet eraldi seaded ning EAP identiteet on kolmas.

Kaugaadress valib, kuhu paketid lähevad, ja kaugidentiteet ütleb, mida vastaspool peab tõestama. EAP ootus kirjutatakse local-ploki alla, sest see kirjeldab selle kliendi EAP-vahetust, mitte vastaspoole IKE-käitumist. Just seda paigutust loetakse valesti. Nimi seisab kliendi konfiguratsioonis, kirjeldades samal ajal serverit, ja täpselt seepärast näeb see vale kohapeal välja.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

See katkend ei ole täielik ühendus; usaldusmaterjal, volitused ja alamsuhete poliitikad peavad veel olema. Selle sõnasõnaline kopeerimine tööfaili asendaks seaded, mida sul ikka vaja on.

Miks aaa_id elab local all

local-plokk kirjeldab, mida see pool autentimise ajal teeb, sealhulgas meetodit, mida see kasutab, ja identiteeti, mida see selle meetodi jaoks teiselt poolelt ootab. Miski selles ei väida, et AAA-server töötab samas masinas.

Vaikeväärtus teeb lõksu teravamaks. Kui selget väärtust pole seatud, järgib oodatav AAA identiteet kaugidentiteeti, nii et ühe nimega juurutus töötab ja peidab erinevuse. Selge väärtus loeb ainult siis, kui EAP juurutus tõesti mujal lõpeb. Selle teise nime peale seadmine ilma sel põhjusel tekitab tõrke, mida operaator ei suuda korrata. Lugege juurutust enne teise nime väljamõtlemist.

Hoidke väärtus identsena sellega, mida taustsüsteemi sertifikaat tegelikult väidab, sealhulgas nime kuju. Lõpupunkt või metamärk, mis hosti ei kata, on kontrolli ebaõnnestumiseks piisav.

Liidesed, mis ei suuda jaotust väljendada

NetworkManageri profiil ei ole sama konfiguratsiooniliides kui swanctl. Selle taga olev plugin pakub kitsamat identiteedikontrollide kogumit ja see, millised neist olemas on, sõltub paigaldatud versioonist.

See loeb siis, kui juurutus vajab tõesti kahte nime. Serveri identiteediks märgitud väli võib konfigureerida ühe kihi, kuid mitte teist, nii et profiil võib näida õige ja ikka sisemises kontrollis ebaõnnestuda. Kontrollige, mida paigaldatud plugin toetab, enne kui eeldate, et profiil suudab seda paigutust väljendada. Kui ei suuda, on valik operaatori oma: teine hankimistee või parandatud serveri identiteedi disain. PEAP-i nõrgendamine või mis tahes nime aktsepteerimine muudab autentimispoliitikat, selle asemel et seda parandada.

Alternatiiv ei ole midagi, mida kliendis leiutada. Küsige toetatud paigutust kirjalikult ja hoidke seda vastust profiili juures.

Eristage identiteedi mittevastavust aegunud sertifikaadist

Nime mittevastavus ja aegunud sertifikaat on erinevad tõrked ja logi eristab neid. Lugege sõnumit enne, kui otsustate, millist välja muuta.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Kavandatud AAA identiteedi seadmine ei uuenda sertifikaati ega loo usaldust selle väljaandja vastu, ja sertifikaadi uuendamine ei paranda vale oodatavat nime. Lugege, milline valideerimine ebaõnnestus, enne kui muudate veel üht identiteedivälja. Seejärel laadige konfiguratsioon uuesti ja kinnitage, et laaditud ühendus näitab seatud väärtust, sest muudetud fail, mida kunagi ei laaditud, ei muuda midagi. Kirjutage mõlemad nimed ja nende kihid juurutuse märkmetesse.

Seotud artiklid