strongSwan EAP: IKE identitatea eta espero den AAA izena

strongSwan EAP bezeroak bi zerbitzari-izen balida ditzake. remote.id IKE atebidea estaltzen du eta local.aaa_id EAP zerbitzaria; ez dira eremu bakarra.

IKEv2ren gaineko EAP autentifikazioak bezeroari konexio bakarrean bi zerbitzari-izen desberdin balidatzeko eska diezaioke. IKE amaitzen duen atebideak identitate bat aurkezten du, eta barneko TLS trukea amaitzen duen EAP atzeko aldeak beste bat aurkez dezake. strongSwanen bloke konfigurazio desberdinetan bizi dira, eta izena bloke okerrean jartzeak ziurtagiri arazo bat ematen duen hutsa sortzen du. Zein balidaziok huts egin duen irakurtzea da zein bloke editatu behar duzun esaten dizuna.

Konexio bat, bi zerbitzari identitate

Lehen identitatea IKE trukearena da. Bezeroak helbide bat markatzen du eta pareak identitate zehatz bat frogatzea espero du, normalean atebidearen ziurtagiriko izena.

Bigarrena EAPrena da. PEAP edo TTLSrekin, bezeroak TLS tunel bat eraikitzen du autentifikazio zerbitzariraino IKE SA barruan, eta barneko zerbitzari horrek bere ziurtagiria aurkezten du. Atzeko aldea host bereizi bat denean, bere izena atebidearena ez da. Lehen izena soilik egiaztatzen duen bezeroak bigarrenak dioena onartzen du. Eta leku bietan izen bakarrarekin konfiguratutako bezeroak huts egiten du biak benetan desberdinak direnean.

Bi izenak operadorearen konfiguraziotik datoz, akatsa desagerrarazten duen ziurtagiritik ez. Operadoreari hedapenaren xehetasunak galdetzea bi host-izen asmatzea baino azkarragoa da.

Zein eremu zein geruzari dagokio

swanctl-en helbidea eta IKE identitatea ezarpen bereiziak dira, eta EAP identitatea hirugarrena da.

Urrutiko helbideak paketeak nora doazen aukeratzen du, eta urrutiko identitateak pareak zer frogatu behar duen adierazten du. EAP itxaropena local blokearen azpian idazten da, bezero honen EAP trukea deskribatzen duelako, ez parearen IKE jokabidea. Kokaleku hori da jendeak gaizki irakurtzen duen zatia. Izena bezeroaren konfigurazioan dago, zerbitzari bat deskribatzen duen bitartean, eta horregatik hain zuzen ematen du leku okerrean.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Zati hori ez da konexio osoa; konfiantza materiala, kredentzialak eta seme-konexioen politikak oraindik egon behar dira. Hori hitzez hitz laneko fitxategi batean kopiatzeak oraindik behar dituzun ezarpenak ordezkatuko lituzke.

Zergatik bizi da aaa_id local azpian

local blokeak mutur honek autentifikazioan zehar egiten duena deskribatzen du, erabiliko duen metodoa eta metodo horretarako beste muturrak aurkeztuko duela espero duen identitatea barne. Ezerk ez du esaten AAA zerbitzaria makina berean exekutatzen denik.

Lehenespenak tranpa zorrozten du. Balio espliziturik ezarri gabe dagoenean, espero den AAA identitateak urrutiko identitatea jarraitzen du, beraz izen bakarreko hedapenak funtzionatzen du eta bereizketa ezkutatzen du. Balio esplizituak garrantzia du EAP hedapena benetan beste leku batean amaitzen denean bakarrik. Arrazoi hori gabe beste izen batera ezartzeak operadoreak erreproduzitu ezin duen hutsa sortzen du. Irakurri hedapena bigarren izen bat asmatu aurretik.

Mantendu balioa atzeko aldearen ziurtagiriak benetan dioenaren berdin, izenaren forma barne. Amaierako puntu bat edo hosta estaltzen ez duen komodin bat nahikoa da egiaztapenak huts egiteko.

Bereizketa adierazi ezin duten interfazeak

NetworkManager profila ez da swanctl-ren konfigurazio interfaze bera. Atzean dagoen pluginak identitate kontrol multzo estuagoa eskaintzen du, eta zeintzuk dauden instalatutako bertsioaren araberakoa da.

Hori garrantzitsua da hedapenak benetan bi izen behar dituenean. Zerbitzari identitate gisa etiketatutako eremu batek geruza bat konfigura dezake eta bestea ez, beraz profil bat zuzena dirudi eta hala ere barne egiaztapenean huts egin dezake. Egiaztatu instalatutako pluginak zer onartzen duen profilak antolaketa hori adieraz dezakeela suposatu aurretik. Ezin badu, aukera operadorearena da: hornikuntza bide desberdin bat edo zerbitzari identitatearen diseinu zuzendua. PEAP ahultzeak edo edozein izen onartzeak autentifikazio politika aldatzen du konpondu beharrean.

Alternatiba ez da bezeroan asmatzeko zerbait. Eskatu onartutako antolaketa idatziz, eta gero gorde erantzun hori profilekin batera.

Bereizi identitate desadostasuna iraungitako ziurtagirietik

Izen desadostasuna eta iraungitako ziurtagiria huts desberdinak dira, eta erregistroak bereizi egiten ditu. Irakurri mezua zein eremu aldatu erabaki aurretik.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Nahitako AAA identitatea ezartzeak ez du ziurtagiri bat berritzen ez eta haren jaulkitzailearekiko konfiantzarik ezartzen, eta ziurtagiri bat berritzeak ez du espero zen izen okerra zuzentzen. Irakurri zein balidaziok huts egin zuen beste identitate eremu bat editatu aurretik. Ondoren birkargatu konfigurazioa eta egiaztatu kargatutako konexioak ezarri duzun balioa erakusten duela, inoiz kargatu ez den fitxategi editatuek ezer aldatzen ez dutelako. Idatzi bi izenak eta haien geruzak hedapen oharretan.

Erlazionatutako artikuluak