strongSwan EAP: IKE-identiteit tsjin de ferwachte AAA-namme

In strongSwan EAP-klient kin twa servernammen falidearje. remote.id dekt de IKE-gateway en local.aaa_id dekt de EAP-tsjinner; it binne net itselde fjild.

EAP-autentikaasje oer IKEv2 kin fan in klient freegje om twa ferskillende servernammen yn ien ferbining te falidearjen. De gateway dy’t IKE einige, toant ien identiteit, en de EAP-efterkant dy’t de ynderlike TLS-útwikseling einige, kin in oare toane. Yn strongSwan wenje se yn ferskillende konfiguraasjeblokken, en in namme yn it ferkearde blok jout in flater dy’t op in sertifikaatprobleem liket. Krekt it lêzen fan hokker falidaasje mislearre is, fertelt jo hokker blok jo bewurkje moatte.

Ien ferbining, twa tsjinneridentiteiten

De earste identiteit heart by de IKE-útwikseling. De klient skillet in adres en ferwachtet dat de oare kant in beskate identiteit bewissiget, meastentiids de namme yn it sertifikaat fan de gateway.

De twadde heart by EAP. Mei PEAP of TTLS bout de klient in TLS-tunnel nei de autentikaasjetsjinner binnen de IKE SA, en dy ynderlike tsjinner toant syn eigen sertifikaat. As de efterkant in aparte host is, ferskilt syn namme fan dy fan de gateway. In klient dy’t allinnich de earste namme kontrolearret, akseptearret wat de twadde beweart. En in klient dy’t mei ien namme op beide plakken konfigurearre is, mislearret sadree’t de twa echt ferskille.

Beide nammen komme út de konfiguraasje fan de operator, net út it sertifikaat dat de flater fuorthellet. De operator om de ynsetdetails freegje is flugger as twa hostnammen riede.

Hokker fjild heart by hokker laach

Yn swanctl binne it adres en de IKE-identiteit aparte ynstellings, en de EAP-identiteit is in tredde.

It fiere adres kiest wêr’t pakketten hinne gean, en de fiere identiteit seit wat de oare kant bewissigje moat. De EAP-ferwachting stiet ûnder it local-blok, om’t it de EAP-útwikseling fan dizze klient beskriuwt en net it IKE-gedrach fan de oare kant. Krekt dy pleatsing wurdt ferkeard lêzen. De namme stiet yn ’e konfiguraasje fan de klient wylst er in tsjinner beskriuwt, en dêrom liket er ferkeard pleatst.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Dat fragmint is net in folsleine ferbining; betrouwensmateriaal, referinsjes en belied foar bernferbiningen moatte noch oanwêzich wêze. It wurd foar wurd yn in wurkjend bestân kopiearje soe ynstellings ferfange dy’t jo noch nedich hawwe.

Wêrom aaa_id ûnder local wennet

It local-blok beskriuwt wat dizze kant by de autentikaasje docht, ynklusyf de metoade dy’t er brûke sil en de identiteit dy’t er foar dy metoade fan de oare kant ferwachtet. Neat deryn beweart dat de AAA-tsjinner op deselde masine rint.

De standertwearde makket de falstrik skerper. As gjin útdruklike wearde ynsteld is, folget de ferwachte AAA-identiteit de fiere identiteit, sadat in ynset mei ien namme wurket en it ferskil ferberget. In útdruklike wearde telt allinnich as de EAP-ynset echt earne oars einiget. It op in oare namme sette sûnder dy reden makket in flater dy’t de operator net werhelje kin. Lês de ynset foardat jo in twadde namme betinke.

Hâld de wearde identyk oan wat it sertifikaat fan de efterkant echt beweart, ynklusyf de foarm fan de namme. In punt oan ’e ein of in wildkaart dy’t de host net dekt, is genôch om de kontrôle mislearje te litten.

Frontends dy’t de splitsing net útdrukke kinne

In NetworkManager-profyl is net deselde konfiguraasje-ynterface as swanctl. De ynstekker dêr’t it op draait, biedt in smeller set identiteitskontrôles, en hokker der besteane hinget fan de ynstallearre ferzje ôf.

Dat telt as de ynset echt twa nammen nedich hat. In fjild mei it label tsjinneridentiteit kin ien laach konfigurearje en net de oare, sadat in profyl korrekt liket en dochs de ynderlike kontrôle mist. Kontrolearje wat de ynstallearre ynstekker stipet foardat jo oannimme dat it profyl de regeling útdrukke kin. Kin it dat net, dan is de kar oan de operator: in oare foarsjenningwei of in korrizjearre ûntwerp fan de tsjinneridentiteit. PEAP ferswakje of elke namme akseptearje feroaret it autentikaasjebelied ynstee fan it te reparearjen.

It alternatyf is net eat om op de klient te betinken. Freegje de stipe regeling skriftlik oan, en bewarje dat antwurd by it profyl.

Skift identiteitsôfwiking fan in ferfalle sertifikaat

In nammeôfwiking en in ferfalle sertifikaat binne ferskillende flaters, en it loch skiftet se. Lês it berjocht foardat jo beslute hokker fjild jo feroarje.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

It ynstellen fan de bedoelde AAA-identiteit fernijt gjin sertifikaat en fêstiget gjin betrouwen yn syn útjouwer, en it fernijen fan in sertifikaat korrizjearret gjin ferkearde ferwachte namme. Lês hokker falidaasje mislearre foardat jo noch in identiteitsfjild bewurkje. Laad dan de konfiguraasje opnij en befêstigje dat de laden ferbining de wearde toant dy’t jo ynsteld hawwe, want in bewurke bestân dat nea laden is, feroaret neat. Skriuw beide nammen en har lagen yn ’e ynsetnotysjes.

Relatearre artikelen