IKE-identiteetti vai päätepisteen osoite: älä sekoita niitä
FQDN-tyyppinen IKE-identiteetti on kirjaimellinen todennusarvo, ei käänteinen DNS-haku. Pidä päätepisteen osoite, paikallinen identiteetti ja odotettu peer erillään.
Lue FQDN-identiteetiksi merkitty kenttä kirjaimellisena merkkijonona, ei pyyntönä julkisen osoitteesi käänteisestä DNS-nimestä. strongSwanin jäsentimessä se on juuri sitä, merkkijono, eikä sen lukeminen koskaan ratkaise sitä päätepisteeksi. Pelkästään tämä tosiasia poistaa yleisimmän häiriötekijän, kun valitset tunnisteita peerille. Alla olevat tarkistukset estävät kolmen osallisen arvon sulautumisen yhdeksi.
Tunniste ei ole haku
Toimittajien käyttöliittymät käyttävät sanoja kuten FQDN ja hostname löyhästi, eikä laatikon tunniste kerro mitään sen takana olevasta koodauksesta. Laite, joka kutsuu kenttää nimellä Client FQDN, voi lähettää FQDN:n, sähköpostin muotoisen merkkijonon tai paljaan osoitteen. Käsittele tekstiä ja tyyppiä kahtena erillisenä päätöksenä ja kirjaa molemmat.
Mikään kirjaimellisessa identiteetissä ei vaadi DNS:ää. Se on väite, jonka toinen pää tarkistaa, ei nimi, joka verkon on ratkaistava.
Kolme erillistä arvoa, erikseen kirjoitettuna
Yhden määritysnäkymän takana on kolme tehtävää, ja niiden yhdistäminen on kallis virhe. Yksi arvo on päätepisteen osoite, joka päättää, minne paketit menevät. Toinen on paikallinen identiteetti, jonka tämä peer esittää, ja kolmas on identiteetti, jonka odotat kaukapäästä ennen sen todentamista. Kirjoita ne kolmeksi riviksi muutostikettiin, sillä mikä tahansa vähempi kuvaa VPN:ää eikä suhdetta.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Esimerkki-identiteetit on valittava ja valtuutettava osana käyttöönottoa. Ne ovat väitteitä, jotka todennus tarkistaa, eivät kirjautumistietoja, jotka tekisivät kenestäkään peeristä luotettavan, joten uskottavalta näyttävä merkkijono ei valtuuta mitään.
Tyyppi on osa arvoa
strongSwanin identiteettiviite erottaa FQDN:n, sähköpostin muotoiset arvot, IP-osoitteet ja muut koodaukset, joten koodaus merkitsee yhtä paljon kuin merkit. Kaksi laitetta voi hyväksyä saman tekstin eri tyypeillä ja silti hylätä toisensa. Muistiinpano, joka tallentaa arvon ilman sen tyyppiä, on puoli määritystä.
Kysy toimittajalta, minkä tyypin laite todella lähettää, ja vahvista se dekoodauksella käyttöliittymän tunnisteen sijaan. Arvattu tyyppi on yhteensopimattomuus, joka odottaa seuraavaa muutosta.
Kummankin puolen on tyydytettävä toinen
Kummankin puolen paikallisen identiteetin on läpäistävä toisen puolen todennuskäytäntö. Se ei ole sama kuin yhden merkkijonon liittäminen jokaiseen identiteettikenttään molemmissa laitteissa, mikä on oikotie määritykseen, jota kukaan ei voi debugata.
Varmenteeseen perustuva todentaminen lisää omat vaatimuksensa, koska varmenteen identiteetti ja luottamusehdot ovat kirjoittamasi IKE-identiteetin rinnalla. Pelkkä IKE-identiteetin osuma ei valtuuta varmennepeeriä.
Missä DNS merkitsee ja mitä versiosi vaatii
Löytämiseen käytetty yhdyskäytävän hostname tarvitsee todella toimivan DNS:n, ja tämä vaatimus kuuluu päätepisteen löytämiseen eikä kirjoitetun identiteetin käänteiseen hakuun. Pidä ne erillään tiketissä, koska löytövirhe ja identiteetin yhteensopimattomuus näyttävät samalta asiakaslokissa ja korjataan eri paikoissa.
Lue sen tuotteen ja version jäsennin, jota todella ajat, ennen kuin kopioit syntaksia, joka pakottaa tyypin, sillä vanhemmat strongSwan-julkaisut käyttäytyivät eri tavalla ja muut toimittajat lisäävät omat rajoituksensa. Kun vertaat kahta päätä, pidä neljä asiaa yhdessä: odotettu identiteetti, esitetty identiteetti, tyyppi ja todennusvirhe. Tämä joukko tekee yhteensopimattomuudesta todisteen mielipiteen sijaan.