iPhone IKEv2 RouterOSiin: mikä tunniste kuuluu mihin
Neljä erillistä väitettä ratkaisee iOSin IKEv2-tunnelin: valittava osoite, odotettu palvelimen identiteetti, väitetty asiakasidentiteetti ja varmennemateriaali.
MikroTikin yhdyskäytävälle pääseminen ratkaisee IKEv2-käyttöönoton vain kuljetuspuolen eikä mitään muuta. Sen jälkeen neljä erillistä väitettä ratkaisee, syntyykö tunneli: osoite, jonka puhelin valitsee, odotettu palvelimen identiteetti, itselle väitetty identiteetti ja väitettä tukeva varmennemateriaali. Tarkista ne tässä järjestyksessä ja pysähdy ensimmäiseen, joka ei vastaa sitä, mitä yhdyskäytävä esittää. Jokaista muokataan eri paikassa, minkä vuoksi väärä muokkaus yleensä siirtää vikaa sen korjaamisen sijaan.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Tarkista profiilin kentät siinä järjestyksessä, jossa vaihto niitä käyttää
Etäosoite on ensimmäisen IKE-paketin kohde eikä mitään muuta. Etätunniste on se, minkä puhelin odottaa yhdyskäytävän todistavan olevansa, ja se on nimi, ei reitti. Molempien täyttäminen samalla isäntänimellä toimii, kun yhdyskäytävän varmenteessa on tämä nimi, ja epäonnistuu tavalla, joka näyttää reititysongelmalta, kun siinä ei ole. Lue profiili väitteiden sarjana, ei täytettävien kenttien luettelona.
Paikallinen tunniste on puhelimen oma väite, ja sen on oltava nimi, jonka RouterOSin identiteettimerkintä hyväksyy puhelimen esittämälle asiakasvarmenteelle. Jos kaksi ei täsmää, yhdyskäytävä hylkää yhteyden sen jälkeen, kun itse varmenne on validoitu, ja loki näyttää valtuutusongelmalta nimeämisongelman sijaan.
Tarkista tunnisteet sitä vasten, mitä yhdyskäytävä esittää
Varmenteisiin perustuvaan todennukseen määritetty RouterOSin vertaistietue esittää oman varmenteensa, ja sen identiteetti otetaan siitä varmenteesta, ellet ole määrittänyt toisin. Jos puhelimen etätunniste nimeää yhdyskäytävän DNS-nimen, yhdyskäytävän varmenne tarvitsee tämän nimen paikkaan, jonka puhelin hyväksyy, tavallisesti vaihtoehtoiseen nimeen. Toiselle yleisnimelle myönnetty varmenne ei validoidu, vaikka avain ja ketju olisivat moitteettomat.
Hallitut Apple-profiilit voivat myös sisältää varmennenimen rajoitteen, joka arvioidaan tunnistekenttien lisäksi. Tarkastele hyötykuormaa sen sijaan, että päättelet validointinimen asetusnäytön näyttämästä, sillä ne eivät ole sama asetus.
Tarkista, että asiakasvarmenne on avain eikä vain luottamuksen ankkuri
CA-varmenteen tuominen antaa puhelimelle jotain, jolla se voi validoida yhdyskäytävän. Se ei anna puhelimelle asiakasidentiteettiä, ja varmenteisiin perustuva todennus vaatii asiakkaan lehtivarmenteen ja sen yksityisen avaimen toimitettuina yhdessä hyväksyttyä rekisteröintipolkua pitkin. Ilman yksityistä avainta rakennettu PKCS#12 tuottaa profiilin, joka asentuu siististi eikä todenna mitään.
Asiakkaan lehtivarmenne tarvitsee myös identiteetin, jota RouterOSin puoli odottaa, eli subjektin tai vaihtoehtoisen nimen on vastattava kyseistä identiteettimääritystä. Asiakas- ja palvelinvarmenteiden myöntäminen yhdestä CA:sta tekee ketjusta kätevän eikä tee kahdesta lehdestä keskenään vaihdettavaa.
Tarkista, että RouterOSin käytäntö hyväksyy tämän nimen
Yhdyskäytävässä vertaistietue asettaa vaihtotilan ja todennusmenetelmän, ja identiteettimerkintä sitoo hyväksytyn etäidentiteetin varmenteeseen ja sitä seuraavaan käytäntöön. RouterOS v7:ssä tämä pari ilmaistaan IPsecin vertais- ja identiteettitietueilla, esimerkiksi IKEv2-vertaisella, jossa on auth-method=digital-signature. Tarkista asennetun versiosi todellinen valikon sisältö, älä vanhemmalle kirjoitettua ohjetta.
Tässä epäjohdonmukaisuus on myös halvin korjata, koska yhdyskäytävä voi kertoa sekä vastaanottamansa että haluamansa identiteetin. Hyväksytyn identiteetin levittäminen virheen vaientamiseksi poistaa sidoksen, joka teki käyttöönotosta mielekkään.
Tarkista, mikä vaihe epäonnistui, ennen kuin muokkaat mitään
Lue yritys molemmissa päissä ja luokittele se ennen ehdotuksen muuttamista. Ehdotuksen epäjohdonmukaisuus, puuttuva allekirjoitusavain, epäluotettava myöntäjä, väärä vertaistunniste ja hylätty asiakkaan valtuutus näyttävät kaikki puhelimesta kuolleelta tunnelilta, ja jokaisella on eri omistaja. Kaikkien viiden asetuksen muuttaminen kerralla takaa, ettet opi tuloksesta mitään.
Kirjaa esitetty identiteetti, odotettu identiteetti, varmenteen myöntäjä ja sarjanumero sekä asiaankuuluvan käytännön nimi ja pidä yksityiset avaimet ja profiilisalaisuudet tämän kirjauksen ulkopuolella. Kun todennus onnistuu, testaa yksityistä palvelua ja sen vastausta, sillä osoitteiden jako, valitsimet, DNS ja käyttöoikeuskäytäntö on saatava toimimaan vielä IKE-vaihdon päätyttyä.