IKE-identiteit of einpuntadres: net trochinoar helje
In IKE-identiteit fan it FQDN-type is in letterlike autentikaasjewearde, gjin reverse-DNS-sykopdracht. Hâld einpuntadres, lokale identiteit en ferwachte peer apart.
Lês in fjild mei it label FQDN-identiteit as in letterlike string, net as in fersyk om de reverse-DNS-namme fan dyn iepenbiere adres. Yn de parser fan strongSwan is it krekt dat, in string, en it lêzen lost it nea op nei in einpunt. Dat feit allinnich hellet de meast foarkommende ôflieding fuort as jo identifiers foar in peer kieze. De kontrôles hjirûnder hâlde de trije belutsen wearden útinoar.
In label is gjin sykopdracht
Ynterfaces fan leveransiers brûke wurden as FQDN en hostname loskes, en it label op in doaze seit neat oer de kodearring derachter. In apparaat dat in fjild Client FQDN neamt, kin in FQDN, in string yn e-postfoarm of in keale adres stjoere. Behannelje de tekst en it type as twa aparte besluten en registrearje beide.
Neat oan in letterlike identiteit freget DNS. It is in bewearing dy't de oare kant kontrolearret, gjin namme dy't it netwurk oplosse moat.
Trije aparte wearden, apart skreaun
Trije taken sitte efter ien konfiguraasjeskerm, en se gearfoegje is de djoere flater. Ien wearde is it einpuntadres, dat bepaalt wêr't pakketten hinne geane. In oare is de lokale identiteit dy't dizze peer presintearret, en de tredde is de identiteit dy't jo fan de fiere kant ferwachtsje foar't jo dy autentisearje. Skriuw se as trije rigels yn it feroaringsticket, want alles minder beskriuwt in VPN ynstee fan in relaasje.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
De foarbyldidentiteiten moatte as part fan de útrôlming keazen en autorisearre wurde. It binne bewearings dy't autentikaasje ferifiearret, gjin legitimearrings dy't hokker peer dan ek fertrouber meitsje, dus in leauwensweardich lykjende string autorisearret neat.
It type is part fan 'e wearde
De identiteitsreferinsje fan strongSwan skiedt FQDN, wearden yn e-postfoarm, IP-adressen en oare kodearrings, dus de kodearring telt likefolle as de tekens. Twa apparaten kinne deselde tekst ûnder ferskillende typen akseptearje en dochs inoar wegerje. In notysje dy't de wearde sûnder har type fêstleit, is in heale konfiguraasje.
Freegje de leveransier hokker type it apparaat eins stjoert, en befêstigje dat mei in dekodearring ynstee fan it ynterfacelabel. In ret type is in mismatch dy't op 'e folgjende feroaring wachtet.
Elke kant moat de oare foldwaan
De lokale identiteit fan elke kant moat it autentikaasjebelied fan 'e oare kant helje. Dat is net itselde as ien string yn elk identiteitsfjild op beide apparaten plakke, wat de koarte wei is dy't in konfiguraasje oplevert dy't nimmen debugge kin.
Sertifikaatautentikaasje foeget eigen easken ta, om't de identiteit fan it sertifikaat en de fertrouwensbetingsten njonken de IKE-identiteit steane dy't jo typt hawwe. In oerienkommende IKE-identiteit allinnich autorisearret gjin sertifikaatpeer.
Wêr't DNS telt, en wat dyn ferzje ôftwingt
In gateway-hostname dy't foar ûntdekking brûkt wurdt, hat wol wurkjende DNS nedich, en dy eask heart by it finen fan it einpunt, net by in reverse-sykopdracht fan in typte identiteit. Hâld de twa apart yn it ticket, om't in ûntdekkingsflater en in identiteitsmismatch itselde lykje te lêzen yn in clientlog en op ferskillende plakken reparearre wurde.
Lês de parser foar it produkt en de ferzje dy't jo eins draaie foar't jo syntaksis kopiearje dy't in type ôftwingt, om't âldere strongSwan-ferzjes oars gedroegen en oare leveransiers eigen beheiningen tafoegje. As jo de twa einen ferlykje, hâld fjouwer dingen byinoar: ferwachte identiteit, presintearre identiteit, type en de autentikaasjeflater. Dy set makket fan in mismatch bewiis ynstee fan in miening.