Nola bihurtzen den IKEv1-en autentifikazio hibridoa IKEv2-ko erabiltzaileen autentifikazioan
Modu hibridoak atebidearen froga erabiltzailearen frogatik bereizten zuen. IKEv2rako jauziak bereizketa horri eusten dio, baina trukea, EAP metodoa eta ziurtagirien egiaztapenak aldatzen ditu.
Zerbitzari-ziurtagiria eta gero erabiltzaile-izena eskatzen dituen VPN profil zahar orok bi autentifikazio-gertaera daramatza truke bakarrean, eta forma horrek hura sartu zuen protokoloaren gainetik dirau. IKEv1-en modu hibridoa zehazki horretarako eraiki zen: atebideak bere burua gako publikoarekin frogatzen du eta erabiltzaileak bere burua geroago XAuth bidez. IKEv2k bi urratseko ideia bera beste mekanismo batekin adierazten du, eta migrazioak alde horietan huts egiten du. Inongo bertsio-zenbakik ez du bat bestean bihurtzen, eta aukera-izen zaharrak profil berri batera kopiatzeak negoziatzen duen eta gero ezer autentifikatzen ez duen bezeroa ematen du.
Zer egiten zuen modu hibridoak IKEv1 barruan
Profil hibridoan erantzuleak lehen faseko trukea sinatzen du bere ziurtagiriarekin, hasiarazleak berriz deliberatuki bat ere aurkezten ez duen bitartean. Identitate-froga, beraz, asimetrikoa da, eta horri esker atebide batek bere PKI existitzen jarraitzen zuen erabiltzaileek beren direktorio-pasahitzekin jarraitzen zuten bitartean. Lehen fasea amaitzean, XAuth eskaera eta erantzun gisa exekutatzen da, erabiltzaile-izena eta pasahitza atributuak orain zifratutako ISAKMP kanalaren barruan daramatzatenak.
Kontuan hartu konfiantza zein tokitara heltzen den. Ziurtagiriak erantzuten du zein atebideetara iritsi den bezeroa; XAuthek erantzuten du zein erabiltzailek nahi duen sarbidea. Batak ez du bestea ordezkatzen, eta edozein zerbitzari-ziurtagiri onartzeko konfiguratuta dagoen bezero batek isilpean baztertu du lehen erantzuna. Hibridoa etiketa gako partekatu aurretikoarekin eta XAuthrekin batera modu agresiboarentzat ere erabiltzen da, erabiltzaile-esperientzia bera duen beste antolaketa bat, beraz irakurri profila eta ez izena. Bi aldaerek inoiz estandar ez ziren zirriborroetatik datoz, eta horregatik bi fabrikatzailek modu hibridoa inplementa dezakete eta inorekin elkarreragin ez.
Nola iristen da IKEv2 bi froga berberetara
IKEv2k lana IKE_SA_INIT eta IKE_AUTH artean banatzen du. Lehen trukeak proposamenak eta gakoak adosten ditu identitate barik; bigarrenak IDi, IDr eta AUTH karga eramaten ditu. EAP pean hasiarazlearen lehen AUTH karga hutsik ateratzen da, erantzuleak lehenengo bere ziurtagiri eta sinadurarekin autentifikatzen da, eta gero EAP elkarrizketa IKE_AUTH mezuen barruan doa.
Hori seguru egiten duen mekanismoa gako-materiala da. EAP metodo arrakastatsu batek saio-gako bat esportatzen du, eta hasiarazlearen azken AUTH karga hartatik kalkulatzen da, beraz erabiltzailearen froga eta tunelaren gakoak elkarri lotuta daude. XAuthk ez du baliokiderik: bere atributuak lehen fasearen ondoren iristen dira eta ez diote ezer gehitzen gakoei. Hutsune hori zen, hain zuzen, IKEv2ren esparrua ixteko diseinatu zena, eta horregatik IKEv2 saio-haste laneko batek zerbitzariaren ziurtagiria egiaztatzen du ezer eskatu aurretik.
Ordena hori diagnostiko erabilgarria ere bada. Bezero batek kredentzialei buruz kexatzen denean ziurtagiri bat erakutsi aurretik, ez du inolako IKEv2 EAP trukerik egiten.
Eduki hiru identitate bereizita
Migrazioa gaizki doa hiru identitate eremu bakarrean bateratzen direnean. Atebidearen identitatea dago, bezeroak egiaztatzen duena, normalean DNS izen bat ziurtagiriaren subject edo SAN eremuan. EAPn aurkezten den erabiltzailearen identitatea dago, agian domeinu-saioa, helbide bat edo EAP identitate-kate esplizitua. Eta erabiltzaile hori sare eta ibilbideetara mapatzen duen autorizazio-iturria dago.
strongSwanen swanctl sintaxiak bereizketa ikusgai egiten du: konexioak remote { auth = pubkey } ezartzen du atebidearentzat eta local { auth = eap-mschapv2 } erabiltzailearentzat, EAP identitatea bereizita eramaten delarik.
Profil berriko erabiltzaile-identitatea XAuth atributu zaharretatik desberdina denean, adibidez izen laburraren ordez UPN bat, autentifikazio-zerbitzariak erabiltzaile ezezaguna ikusten du eta hutsegiteak pasahitz okerra dirudi. Egiaztatu identitate-katea kredentzialak egiaztatu aurretik.
Mapatu aukerak eta gero espero tranpak
Mapaketa laburra da eta errenkada bakoitzak autentifikazioan soilik agertzen den tranpa bat du.
| Legacy hybrid element | IKEv2 equivalent | Where it bites |
|---|---|---|
| Gateway certificate, no client certificate | Responder authenticated with pubkey, initiator with EAP | The server needs an EAP method configured, not just a certificate |
| XAuth username and password | EAP-MSCHAPv2 or an inner method | Password policy and account format differ from the old directory field |
| XAuth attribute replies | IKEv2 configuration payload | Attribute numbering is unrelated; nothing is renamed |
| Proxy IDs from quick mode | TS_i and TS_r in IKE_AUTH | Narrowing on the responder can leave an IKE SA with no child SA |
Errenkada horietako bat ere ez da izen-aldaketa soila. Konfigurazio-kargak helbideak eta ebazpenak atributu-zerrenda tipifikatu baten bidez entregatzen ditu, XAuthren atributu-espazioa bere asmakizuna zen bitartean; trukagarritzat hartzea da profila atebideak inoiz bidaliko ez duen ezarpen bat eskatzen amaitzeko bidea.
Trafiko-selektoreek beren abisua merezi dute. IKEv1ek trafiko interesgarria quick mode trukeari lotutako proxy IDen bidez adierazten zuen, IKEv2k berriz selektoreak IKE_AUTH bitartean negoziatzen ditu eta erantzuleak estu ditzake. Desadostasunak child SA barik ezarritako IKE SA bat sortzen du, bezero batzuek pozik konektatuta bezala erakusten dutena.
Hartu konexio zaharra muga gisa
RFC 9395ek IKEv1 zaharkitutzat jotzen du, beraz konexio hibrido zaharra data duen bateragarritasun-muga da, ez oinarria. Exekutatu bi profilak elkarrekin aldaketan zehar, garrantzitsua den proba ez baita profil berria igotzen den, baizik eta erabiltzaile berak gailu berean baliabide berberetara heltzen duen.
Eduki ziurtagirien egiaztapena zorrotz hasieratik amaierara. Bezeroak bere ziurtagiria aurkezteari uzten dionean, tentazioa da zerbitzariaren egiaztapena arintzea eskuko hatsa amaitu arte, eta horrek geratzen den froga bakarra ikono berde baten truke aldatzen du.
Idatzi lau gauza profil zaharra erretiratu aurretik: EAP metodoa, identitate-katea, autorizazio-iturria eta laguntza amaitzen den data.