strongSwan EAP: IKE-identiteetti vastaan odotettu AAA-nimi

EAP-todennus IKEv2:n yli voi vaatia asiakasta validoimaan kaksi eri palvelinnimeä yhdessä yhteydessä. IKE:n päättävä yhdyskäytävä esittää yhden identiteetin, ja sisemmän TLS-vaihdon päättävä EAP-tausta voi esittää toisen. strongSwanissa ne asuvat eri asetustlohkoissa, ja nimen laittaminen väärään lohkoon tuottaa virheen, joka näyttää sertifikaattiongelmalta. Juuri sen lukeminen, mikä validointi epäonnistui, kertoo, mitä lohkoa muokata.

Yksi yhteys, kaksi palvelinidentiteettiä

Ensimmäinen identiteetti kuuluu IKE-vaihtoon. Asiakas valitsee osoitteen ja odottaa vastapuolen todistavan tietyn identiteetin, yleensä yhdyskäytävän sertifikaatissa olevan nimen.

Toinen kuuluu EAP:lle. PEAP:n tai TTLS:n kanssa asiakas rakentaa TLS-tunnelin todennuspalvelimelle IKE SA:n sisään, ja tämä sisempi palvelin esittää oman sertifikaattinsa. Kun tausta on erillinen isäntä, sen nimi eroaa yhdyskäytävän nimestä. Asiakas, joka tarkistaa vain ensimmäisen nimen, hyväksyy mitä toinen väittää. Ja asiakas, joka on asetettu yhdellä nimellä molempiin paikkoihin, epäonnistuu heti kun kaksi todella eroavat.

Molemmat nimet tulevat operaattorin asetuksista, eivät sertifikaatista joka saa virheen katoamaan. Operaattorilta käyttöönoton yksityiskohtien kysyminen on nopeampaa kuin kahden isäntänimen arvaaminen.

Mikä kenttä kuuluu millekin kerrokselle

swanctl:ssä osoite ja IKE-identiteetti ovat erillisiä asetuksia, ja EAP-identiteetti on kolmas.

Etäosoite valitsee, minne paketit menevät, ja etäidentiteetti kertoo, mitä vastapuolen on todistettava. EAP-odotus kirjoitetaan local-lohkon alle, koska se kuvaa tämän asiakkaan EAP-vaihtoa eikä vastapuolen IKE-käyttäytymistä. Juuri tämä sijoittelu luetaan väärin. Nimi seisoo asiakkaan asetuksissa kuvaten samalla palvelinta, ja siksi se näyttää olevan väärässä paikassa.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Tuo katkelma ei ole täydellinen yhteys; luottamusmateriaalin, tunnistetietojen ja aliyhteyksien käytäntöjen on vielä oltava läsnä. Sen sanatarkka kopiointi toimivaan tiedostoon korvaisi asetuksia, joita vielä tarvitset.

Miksi aaa_id asuu localin alla

local-lohko kuvaa, mitä tämä pää tekee todennuksen aikana, mukaan lukien menetelmä, jota se käyttää, ja identiteetti, jonka se odottaa toisen pään esittävän kyseiselle menetelmälle. Mikään siinä ei väitä, että AAA-palvelin toimisi samalla koneella.

Oletusarvo tekee ansasta terävämmän. Kun nimenomaista arvoa ei ole asetettu, odotettu AAA-identiteetti seuraa etäidentiteettiä, joten yhden nimen käyttöönotto toimii ja piilottaa eron. Nimenomainen arvo on merkityksellinen vain, kun EAP-käyttöönotto todella päättyy muualla. Sen asettaminen eri nimeen ilman tätä syytä luo virheen, jota operaattori ei voi toistaa. Lue käyttöönotto ennen kuin keksit toisen nimen.

Pidä arvo samana kuin mitä taustan sertifikaatti todella väittää, nimen muoto mukaan lukien. Loppupiste tai isäntää kattamaton jokerimerkki riittää tarkistuksen epäonnistumiseen.

Käyttöliittymät, jotka eivät pysty ilmaisemaan jakoa

NetworkManager-profiili ei ole sama asetuskäyttöliittymä kuin swanctl. Sen takana oleva liitännäinen tarjoaa kapeamman joukon identiteetin hallintoja, ja se, mitkä niistä ovat olemassa, riippuu asennetusta versiosta.

Tällä on merkitystä, kun käyttöönotto todella tarvitsee kaksi nimeä. Palvelinidentiteetiksi merkitty kenttä voi määrittää yhden kerroksen mutta ei toista, joten profiili voi näyttää oikealta ja silti epäonnistua sisemmässä tarkistuksessa. Tarkista, mitä asennettu liitännäinen tukee, ennen kuin oletat profiilin pystyvän ilmaisemaan järjestelyn. Jos se ei pysty, valinta kuuluu operaattorille: eri valmistelupolku tai korjattu palvelinidentiteetin suunnittelu. PEAP:n heikentäminen tai minkä tahansa nimen hyväksyminen muuttaa todennuskäytäntöä sen korjaamisen sijaan.

Vaihtoehto ei ole jotain, mitä asiakkaalla keksitään. Pyydä tuettu järjestely kirjallisesti ja säilytä vastaus profiilin mukana.

Erota identiteetin epäsopivuus vanhentuneesta sertifikaatista

Nimen epäsopivuus ja vanhentunut sertifikaatti ovat eri virheitä, ja loki erottaa ne. Lue viesti ennen kuin päätät, mitä kenttää muuttaa.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Aiottuun AAA-identiteettiin asettaminen ei uusi sertifikaattia eikä luo luottamusta sen myöntäjään, eikä sertifikaatin uusiminen korjaa väärää odotettua nimeä. Lue, mikä validointi epäonnistui, ennen kuin muokkaat toista identiteettikenttää. Lataa sitten asetukset uudelleen ja varmista, että ladattu yhteys näyttää asettamasi arvon, koska muokattu tiedosto, jota ei koskaan ladattu, ei muuta mitään. Kirjoita molemmat nimet ja niiden kerrokset käyttöönoton muistiinpanoihin.