IKEv2 ziurtagiria eta SAN: zergatik huts egiten du identitate-egiaztapenak
IKEv2 ziurtagiri baliodunak huts egiten du oraindik espero den identitatea eta SAN mota bat ez datozenean. Lotu DNS DNS-rekin, IP IP-rekin, eta egiaztatu profila lehenik.
Zure ziurtagiriaren katea CA fidagarri batera iristen da, datak zuzenak dira, eta bikoteak uko egiten dio oraindik lehen fasea (1) identitate-errore batekin osatzeari. Iristea eta sinadura balioduna IKEv2 bezeroak egiaztatzen duenaren erdia baino ez dira. Beste erdia espero duen identitatea ziurtagirian eremu egokian agertzen den ala ez da, eta itxaropen hori profileak ezartzen du, ez ziurtagiriaren fitxategi-izenak.
Sintoma beti da forma berekoa
Konexio-profil bat ostalari-izenetik IP helbidera aldatzen da, edo DNS izena zeraman ziurtagiri batetik helbideak soilik daramatzan batera berritzen da, eta tunelak negoziazioa uzten du. Sare-bidean ezer ez da aldatu. Bezeroa bikotera iristen da, ziurtagiri bat jasotzen du eta bikotearen identitatea ukatzen du, espero zezala esan zioten identifikatzailea onartzen duen eremu batean irudikatuta ez dagoelako. Berritzeak ohiko eragilea dira, ordezko ziurtagiria askotan ordezkatzen duenaren txantiloi ezberdinetik baitator.
Ondoren bi aldeek zerbait alferrikakoa erregistratzen dute, eta horregatik hutsa ziurtagiri-arazo gisa jakinarazten da normalean. Bezeroaren erregistroak nahi zuen identitatea izenda dezake, eta izen hori behar duzun arrastoa da, ez iraungitze-data.
Lotu identifikatzailearen mota, ez bakarrik balioa
dNSName SAN bat eta iPAddress SAN bat eremu desberdinak dira, bateratze-arau desberdinekin, beraz 203.0.113.10 DNS kate gisa daraman ziurtagiriak ez du IP identitatea espero duen bezeroa asetzen. Balidatzaile modernoek izen arrunta neurri handi batean alde batera uzten dute, beraz ziurtagiriaren xehetasunetako etiketa atseginak ez du ezer frogatzen zer bat etorriko den. Arazoak konpontzean ostalari-izen bat helbide batekin ordeztu bada, suposatu espero zen identitatea harekin mugitu zela egiaztatu arte. Konparatu profileko katea SANeko katearekin karaktereka, amaierako puntu bat edo soberako zuriune bat nahikoa baita.
Komodinak DNS-rako erosotasuna baino ez dira eta beren bateratze-arauak jarraitzen dituzte, eta hori da IP-n oinarritutako profil batek inoiz haiengan fidatu behar ez duen beste arrazoi bat.
Aurkitu non gordetzen duen bezero bakoitzak itxaropena
strongSwanen ziurtagiriarekin alderatzen den balioa bikotearen identitate-ezarpenetik dator: rightid konfigurazio klasikoan, edo swanctl-eko urruneko konexio-atalko id eremutik. Apple IKEv2 bateragarritasunari buruzko dokumentazioa erabilgarria da hemen, profilek gidatutako bezero batek erabiltzen dituen identitate-konbentzioak zehazten baititu, eta konbentzio horiek sarean ausazkoak diruditen desadostasun mota bat azaltzen dute.
Appleren konfigurazio-profilek urruneko identifikatzailearen eremu bat daramate, eta hango balioa da bezeroak egiaztatzen duena, ez konexio-ezarpenetako zerbitzariaren helbidea. Windows eta gailuen bezeroek bakoitzak bere eremua du bere lehenespenarekin, eta lehenespenak askotan idatzi duzun helbidea jarraitzen du. Bi eremuk desadostasuna dutenean, bezeroak benetan irakurtzen duenak irabazten du, eta gutxitan izaten da zuk editatu duzuna.
Konpondu profila edo ziurtagiria nahita
Aztertu bikotearen ziurtagiria onartutako tresnekin eta zerrendatu SAN sarrerak beren motekin, ezer aldatu aurretik. Azterketa horrek ez du gako pribaturik ez igotzerik behar, eta segundo batzuetan argitzen du kontua. Hedapenak DNS identitate bat nahi badu, ziurtagiriak dNSName sarrera gisa eraman behar du, eta helbide bat nahi badu, ziurtagiriak iPAddress sarrera bat behar du helbide horretarako zehazki.
Ziurtagiria okerra denean, eskatu operadoreari zuzendutako bat espero den identifikatzaile zehatzarekin. Profila okerra denean, konpondu profila eta utzi ziurtagiria bakean. Identitatearen egiaztapena desgaitzeak errorea desagerrarazten du eta tunelak nahi zenuen bikotearekin hitz egiten duela egiaztatzen duen kontrola kentzen du.
Dokumentatu espero den identitatea bezero-plataforma bakoitzeko, bezero batek automatikoki eratortzen duen balio bat beste batean esplizitua izan behar baitaiteke.
Eman berritze-eskaerari lau datu
Idatzi espero den identifikatzailea eta bere mota, uneko ziurtagiriak benetan dituen SAN sarrerak, egiaztapena egiten duen bezeroa eta bertsioa, eta errorearen testu zehatza. Lau lerro horiekin eraikitako berritze-eskaerak lehen aldian lortzen du ziurtagiri zuzena, fitxategi-izen ezagun berarekin beste bat lortu beharrean.