IKEv2 zerbitzariaren helbidea vs identitatea: bezeroak egiaztatzen duena
Helbideak non markatu behar den esaten du; identitateak dio zein parekide onartu. Horiek nahastea horregatik, mugitu den atebide batek edo ziurtagiri berri batek IKEv2 hausten du.
Helbidea aldatzen duen atebide batek funtzionatzen jarraitu dezake ziurtagiri berri baten atzean dagoen atebide bera gelditzen den bitartean, eta alderantziz ere gertatzen da. Helbideak paketeak non bidali behar dituen esaten dio bezeroari; autentifikatutako identitateak bezeroari esaten dio ea erantzun duen parekidea fidatu behar den ala ez. IKEv2-k bi eremu bereizi gisa gordetzen ditu, eta hori erabilgarria da kate bakar gisa tratatzeari uzten diozunean. Leku ezberdinetan ere konfiguratuta daude, beraz, bat zuzena izan daiteke bestea oker dagoen bitartean.
Egiaztatu ordena honetan eta gelditu lehen desegokitzapenean, geroko egiaztapenek aurrekoak gainditu direla suposatzen baitute.
Lehenik eta behin, zein balio den helbidea
Konexio-helbidea bezeroak markatzen duen edozein da: IP bat, DNS bakarreko izen bat edo karga orekatuko frontend bat. Hori da garraio informazioa eta kito. Identitatea IKEv2 ID kargan doa eta gero parekidearen ziurtagiriarekin parekatzen da. Helbide-koadroan dagoen DNS izena ez da espero den identitatea bihurtzen, eta IP gordina ez da identitate bihurtzen socket-a konektatu delako.
strongSwan terminoetan, helbidea right edo left da, eta espero den identitatea rightid edo leftid da, eta hori da IKEv2 konfigurazio-dokumentazioak deskribatzen duena. Helbidea bakarrik editatu baduzu, bikotearen erdia konfiguratu duzu.
Bigarrena, ziurtagiriak froga dezakeena
Identitateak mota bat du, eta ziurtagiriak bat datorren izen bat eraman behar du. DNS identitatea gaiaren izen alternatiboen luzapenean dNSName sarrera batek betetzen du; IP identitate batek iPAddress sarrera behar du. vpn.example.com-rako emandako ziurtagiri batek ez du ezer frogatzen 203.0.113.10 helbide literalari buruz, eta helbide horretarako emandako batek ez du ezer frogatzen izenari buruz. Beste izen baten berri ematea, beraz, ez da ordezkapena, nahiz eta gako bera eta CA berrerabiltzen diren.
Bezero modernoek izen arruntari ez diote jaramonik egiten subjektuaren izen alternatibo bat dagoenean, eta askok ez diote jaramonik egiten. SAN zerrendak ez badu bezeroak egiaztatzen duen balioa, esku-emateak huts egingo du ziurtagiria jada fidagarritzat onartu ostean, eta horregatik erregistroak identitate-errore bat bezala irakurtzen du konfiantzazko errorea baino.
Hirugarrenik, bezero bakoitzak itxaropena nola adierazten duen
Windows-k idatzi duzun zerbitzariaren izena edo helbidea hartzen du eta ziurtagiria bat etor dadin eskatzen du, beraz, IP bat idazteak IP itxaropena sortzen du. Android-ren IKEv2 bezeroak berdin jokatzen du, eta biek baztertzen dute beste ostalari bat izendatzen duen publikoki fidagarria den ziurtagiri baliozko bat. Profil bat huts egiten has daiteke norbaitek ostalari-izena bere helbidearekin ordeztu duelako migrazio batean. Begiratu bezeroak zer eskatu duen ziurtagiriak zer daukan begiratu aurretik.
strongSwan-n itxaropena esplizitua da: ezarri rightid zerbitzariak benetan aurkezten duen identitateari, eta hori eskuinetik desberdina izan daiteke. %any gisa ezartzeak parekoak eskaintzen duen guztia onartzen du eta gordetzen saiatzen ari zaren egiaztapena zehazki kentzen du.
Laugarren, bereizi erabiltzailearen saioa parekideen identitatetik
EAP autentifikazioak eta zerbitzariaren identitateak galdera desberdinak erantzuten dituzte. EAP [email protected] bezalako identitate batek erabiltzailea nor den esaten du, bezeroak zerbitzaria egokia dela erabaki ondoren. Pasahitz hori biratzeak ezin du pareko identitate-desegokia konpondu, konexioa ez baita inoiz erabiltzaile-saioa hasteko fasera iristen.
Txosten garbi batek biak izendatu behar ditu: bezeroak espero zuen identitatea, zerbitzariak aurkeztutako identitatea eta ziurtagiriaren SAN sarrerak.
Bosgarrenik, aldatu egiaztatutako kanal baten bidez
Pasabidea legez mugitzen denean, eguneratu helbidea lehenik eta utzi identitatea, hori baita IKEv2-k ondo maneiatzen duelako. Identitatea bera aldatzen denean, trata ezazu konfiantzazko gertaera gisa eta lortu balio berria jada fidagarria den iturri batetik, ez une honetan huts egiten ari den amaierako puntutik. Balioztatzen saiatzen ari zaren konexioaren bidez bidalitako mezu bat ez da konexio horren froga.
Grabatu azken helbidea, identitatea eta SAN zerrenda elkarrekin profileko oharretan. Ziurtagiria ukituko duen hurrengo pertsonak ikusiko du hiruetatik zein den mugitzeko baimena.