iPhone IKEv2tik RouterOSera: zein identifikatzaile non doa
Lau aldarrikapen berezik erabakitzen dute iOSeko IKEv2 tunela: markatzen den helbidea, espero den zerbitzari-nortasuna, aldarrikatzen den bezero-nortasuna eta ziurtagiri-materiala.
MikroTik atebidera iristeak IKEv2 inplementazio baten garraioaren erdia baino ez du konpontzen, eta besterik ez. Gero, lau aldarrikapen berezik erabakitzen dute tunela sortuko den: telefonak markatzen duen helbidea, espero duen zerbitzari-nortasuna, bere buruarentzat aldarrikatzen duen nortasuna eta aldarrikapen hori babesten duen ziurtagiri-materiala. Egiaztatu itzazu ordena horretan, eta gelditu atebideak aurkezten duenarekin bat ez datorren lehenengoan. Bakoitza leku desberdin batean editatzen da, eta horregatik edizio oker batek hutsa lekuz aldatzen du normalean, konpondu beharrean.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Egiaztatu profileko eremuak trukeak erabiltzen dituen ordenan
Urruneko helbidea lehen IKE paketearen helburua da eta besterik ez. Urruneko identifikatzailea telefonak atebideak bere burua dela frogatzea espero duena da, eta izena da, ez ibilbidea. Biak ostalari-izen berarekin betetzeak funtzionatzen du atebidearen ziurtagiriak izen hori daramanean, eta ibilbide-arazo bat dirudien moduan huts egiten du eramaten ez duenean. Irakurri profila aldarrikapenen segida gisa, bete beharreko eremuen zerrenda gisa beharrean.
Tokiko identifikatzailea telefonaren aldarrikapen propioa da, eta RouterOSen nortasun-sarrerak telefonoak aurkezten duen bezero-ziurtagirirako onartzen duen izena izan behar du. Biak bat ez badatoz, atebideak konexioa ukatzen du ziurtagiria bera balioztatu ondoren, eta erregistroa autorizazio-arazo baten itxura du, izendapen-arazoaren ordez.
Egiaztatu identifikatzaileak atebideak aurkezten duenaren aurka
Ziurtagiri-autentifikaziorako konfiguratutako RouterOS pare-sarrerak bere ziurtagiria aurkezten du, eta haren nortasuna ziurtagiri horretatik ateratzen da, besterik konfiguratu ez baduzu. Telefonaren urruneko identifikatzaileak atebidearen DNS izena izendatzen badu, atebidearen ziurtagiriak izen hori behar du telefonoak onartuko duen lekuan, normalean subjektuaren izen alternatiboan. Beste izen komun batentzat jaulkitako ziurtagiriak ez du balioztatuko gakoa eta katea ezin hobeak badira ere.
Kudeatutako Apple profilek ziurtagiri-izenaren murrizketa ere izan dezakete, identifikatzaile-eremuez gain ebaluatzen dena. Ikuskatu karga erabilgarria, eta ez ondorioztatu balioztatze-izena ezarpenen pantailak erakusten duenetik, biak ez baitira ezarpen bera.
Egiaztatu bezero-ziurtagiria gakoa dela, ez bakarrik konfiantza-aingura
CA ziurtagiri bat inportatzeak atebidea balioztatzeko zerbait ematen dio telefoneari. Ez dio bezero-nortasunik ematen, eta ziurtagiri-autentifikazioak bezeroaren hosto-ziurtagiria eta haren gako pribatua elkarrekin behar ditu, onartutako erregistro-bidearen bidez. Gako pribaturik gabe eraikitako PKCS#12 batek garbi instalatzen den eta ezer autentifikatzen ez duen profila sortzen du.
Bezeroaren hostoak RouterOS aldeak espero duen nortasuna ere behar du, hau da, subjektuak edo subjektuaren izen alternatiboak bat etorri behar du dagokion nortasun-konfigurazioarekin. Bezero- eta zerbitzari-ziurtagiriak CA batetik jaulkitzeak katea eroso egiten du, eta ez ditu bi hostoak trukagarri egiten.
Egiaztatu RouterOSen politikak izen hori onartzen duela
Atebidean, pare-sarrerak truke-modua eta autentifikazio-metodoa ezartzen ditu, eta nortasun-sarrerak onartutako urruneko nortasuna ziurtagiri bati eta ondorengo politikari lotzen dio. RouterOS v7-n parekatze hori IPsec pare- eta nortasun-sarreren bidez adierazten da, adibidez IKEv2 pare bat auth-method=digital-signature duela. Egiaztatu instalatutako bertsioaren menuko edukia, eta ez bertsio zaharrago baterako idatzitako gida bat.
Hemen da desadostasuna konpontzeko lekurik merkeena ere, atebideak jaso duen nortasuna eta nahi zuen nortasuna biak esan baititzake. Akatsa isilarazteko onartutako nortasuna zabaltzeak inplementazioari zentzua ematen zion lotura kentzen du.
Egiaztatu zein fasetan huts egin zuen, ezer editatu aurretik
Irakurri saiakera bi muturretan eta sailkatu proposamen bat aldatu aurretik. Proposamen-desadostasuna, sinadura-gako falta, jaulkitzaile ez-fidagarria, pare-identifikatzaile okerra eta ukatutako bezero-autorizazioa hildako tunel baten itxura dute guztiek telefonoaren aldetik, eta bakoitzak jabe desberdina du. Bost ezarpenak batera aldatzeak bermatzen du emaitzatik ezer ez ikastea.
Erregistratu aurkeztutako nortasuna, espero den nortasuna, ziurtagiriaren jaulkitzailea eta serie-zenbakia eta dagokion politika-izena, gako pribatuak eta profileko sekretuak erregistro horretatik kanpo edukita. Autentifikazioak arrakasta duenean, probatu zerbitzu pribatu bat eta haren erantzuna, helbide-esleipenak, hautatzaileek, DNSek eta sarbide-politikak IKE trukea amaitu ondoren ere funtzionatu behar baitute.