هویت IKE یا نشانی نقطه پایانی: این دو را با هم اشتباه نگیرید
هویت IKE از نوع FQDN یک مقدار احراز هویت تحت‌اللفظی است، نه یک جست‌وجوی معکوس DNS. نشانی نقطه پایانی، هویت محلی و همتای مورد انتظار را جدا نگه دارید.
یک فیلد با برچسب هویت FQDN را به‌عنوان یک رشته تحت‌اللفظی بخوانید، نه به‌عنوان درخواستی برای نام معکوس DNS نشانی عمومی خود. در تجزیه‌کننده strongSwan دقیقاً همین است، یک رشته، و خواندن آن هرگز آن را به یک نقطه پایانی تبدیل نمی‌کند. همین واقعیت به‌تنهایی رایج‌ترین حواس‌پرتی را حذف می‌کند وقتی شناسه‌هایی برای یک همتا انتخاب می‌کنید. بررسی‌های زیر مانع از یکی شدن سه مقدار درگیر می‌شوند.
برچسب یک جست‌وجو نیست
رابط‌های فروشندگان از واژه‌هایی مانند FQDN و hostname آزادانه استفاده می‌کنند و برچسب روی یک جعبه چیزی درباره کدگذاری پشت آن نمی‌گوید. دستگاهی که یک فیلد را Client FQDN می‌نامد می‌تواند یک FQDN، یک رشته به شکل ایمیل یا یک نشانی خالی بفرستد. متن و نوع را دو تصمیم جدا در نظر بگیرید و هر دو را ثبت کنید.
هیچ چیز در یک هویت تحت‌اللفظی به DNS نیاز ندارد. این ادعایی است که طرف مقابل بررسی می‌کند، نه نامی که شبکه باید آن را تجزیه کند.
سه مقدار جدا، جدا نوشته‌شده
سه کار پشت یک صفحه پیکربندی قرار دارد و ادغام آن‌ها اشتباه گران است. یک مقدار نشانی نقطه پایانی است که تعیین می‌کند بسته‌ها کجا می‌روند. مقدار دیگر هویت محلی است که این همتا ارائه می‌دهد و سومی هویتی است که پیش از احراز هویت آن از طرف دور انتظار دارید. آن‌ها را به‌صورت سه خط در تیکت تغییر بنویسید، زیرا هر چیز کمتر از این یک VPN را توصیف می‌کند نه یک رابطه.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
هویت‌های نمونه باید به‌عنوان بخشی از استقرار انتخاب و مجاز شوند. آن‌ها ادعاهایی هستند که احراز هویت بررسی می‌کند، نه اعتبارنامه‌هایی که هر همتایی را قابل اعتماد کنند، بنابراین یک رشته باورکردنی هیچ چیز را مجاز نمی‌کند.
نوع بخشی از مقدار است
مرجع هویت strongSwan میان FQDN، مقادیر به شکل ایمیل، نشانی‌های IP و کدگذاری‌های دیگر تفکیک می‌کند، پس کدگذاری به اندازه کاراکترها اهمیت دارد. دو دستگاه می‌توانند متن یکسانی را زیر نوع‌های مختلف بپذیرند و باز هم یکدیگر را رد کنند. یادداشتی که مقدار را بدون نوعش ثبت می‌کند نیمی از یک پیکربندی است.
از فروشنده بپرسید که دستگاه واقعاً چه نوعی می‌فرستد و آن را با یک رمزگشایی تأیید کنید نه با برچسب رابط. نوع حدس‌زده‌شده ناسازگاری است که منتظر تغییر بعدی است.
هر طرف باید طرف دیگر را برآورده کند
هویت محلی هر طرف باید سیاست احراز هویت طرف دیگر را بگذراند. این همان چسباندن یک رشته در هر جعبه هویت روی هر دو دستگاه نیست، که همان میان‌بری است که پیکربندی‌ای می‌سازد که هیچ‌کس نمی‌تواند اشکال‌زدایی کند.
احراز هویت گواهی الزامات خودش را اضافه می‌کند، زیرا هویت گواهی و شرایط اعتماد در کنار هویت IKE که تایپ کرده‌اید قرار دارند. تطابق صرف هویت IKE یک همتای گواهی‌دار را مجاز نمی‌کند.
کجا DNS اهمیت دارد و نسخه شما چه چیزی را تحمیل می‌کند
نام میزبان دروازه‌ای که برای کشف استفاده می‌شود واقعاً به DNS کارآمد نیاز دارد و این الزام به یافتن نقطه پایانی تعلق دارد نه به هیچ جست‌وجوی معکوس یک هویت تایپ‌شده. این دو را در تیکت جدا نگه دارید، زیرا شکست کشف و ناسازگاری هویت در گزارش کلاینت شبیه هم خوانده می‌شوند و در جاهای مختلف تعمیر می‌شوند.
پیش از کپی کردن نحوی که نوعی را تحمیل می‌کند، تجزیه‌کننده محصول و نسخه‌ای را که واقعاً اجرا می‌کنید بخوانید، چون نسخه‌های قدیمی‌تر strongSwan رفتار متفاوتی داشتند و فروشندگان دیگر محدودیت‌های خودشان را اضافه می‌کنند. وقتی دو سر را مقایسه می‌کنید، چهار چیز را کنار هم نگه دارید: هویت مورد انتظار، هویت ارائه‌شده، نوع و خطای احراز هویت. این مجموعه یک ناسازگاری را به شاهد تبدیل می‌کند نه به یک نظر.