Conas a théann fíordheimhniú hibrideach IKEv1 ar aghaidh go fíordheimhniú úsáideoirí IKEv2
Dhealaigh an modh hibrideach cruthúnas an gheata ó chruthúnas an úsáideora. Coinníonn an t-aistriú go IKEv2 an deighilt sin ach athraíonn sé an mhalartú, an modh EAP agus seiceálacha an teastais.
Iompraíonn gach seanphróifíl VPN a iarrann teastas freastalaí agus ansin ainm úsáideora dhá imeacht fhíordheimhniúcháin in aon mhalartú amháin, agus maireann an fhoirm sin níos faide ná an prótacal a thug isteach í. Tógadh modh hibrideach IKEv1 go díreach chuige seo: cruthaíonn an geata é féin le heochair phoiblí agus cruthaíonn an t-úsáideoir é féin níos déanaí trí XAuth. Cuireann IKEv2 an smaoineamh céanna dhá chéim in iúl le meicníocht eile, agus is sna difríochtaí sin a theipeann na haistrithe. Ní athraíonn aon uimhir leagan ceann go dtí an ceann eile, agus má chóipeáiltear na seanainmneacha rogha isteach i bpróifíl nua faightear cliant a dhéanann idirbheartaíocht agus nach bhfíordheimhníonn aon rud ina dhiaidh sin.
Cad a rinne an modh hibrideach laistigh de IKEv1
I bpróifíl hibrideach síníonn an taobh a fhreagraíonn an mhalartú céad chéim lena theastas féin agus ní chuireann an tionscnóir aon cheann i láthair d'aon ghnó. Tá cruthúnas na féiniúlachta neamhshiméadrach mar sin, agus is é sin a lig don gheata a PKI reatha a choinneáil agus do na húsáideoirí a bpasfhocail eolaire a choinneáil. Nuair a chríochnaíonn an chéad chéim, ritheann XAuth mar iarraidh agus freagra a iompraíonn tréithe an ainm úsáideora agus an phasfhocail laistigh den chainéal ISAKMP atá criptithe anois.
Tabhair faoi deara cá dtiteann an muinín. Freagraíonn an teastas cén geata ar shroich an cliant é; freagraíonn XAuth cén t-úsáideoir atá ag iarraidh rochtana. Ní thagann ceann in ionad an chinn eile, agus tá cliant a bhfuil sé socraithe aige glacadh le haon teastas freastalaí tar éis an chéad fhreagra a chaitheamh amach go ciúin. Úsáidtear an lipéad hibrideach freisin don mhodh ionsaitheach le heochair roinnte roimh ré móide XAuth, socrú eile a bhfuil an taithí úsáideora chéanna aige, mar sin léigh an phróifíl seachas an t-ainm. Tagann an dá leagan ó dhréachtaí nár tháinig chun bheith ina gcaighdeáin riamh, agus is é sin an fáth gur féidir le dhá mhonaróir modh hibrideach a chur i bhfeidhm agus gan idir-inoibritheacht a bheith acu le haon duine.
Conas a shroicheann IKEv2 an dá chruthúnas chéanna
Roinneann IKEv2 an obair idir IKE_SA_INIT agus IKE_AUTH. Aontaíonn an chéad mhalartú moltaí agus eochracha gan aon fhéiniúlacht; iompraíonn an dara ceann IDi, IDr agus na hualaí AUTH. Faoi EAP téann an chéad ualach AUTH ón tionscnóir amach folamh, déanann an taobh a fhreagraíonn fíordheimhniú air féin ar dtús lena theastas agus lena shíniú, agus ansin téann an comhrá EAP ar aghaidh laistigh de theachtaireachtaí IKE_AUTH.
Is é an mheicníocht a dhéanann é seo sábháilte an t-ábhar eochrach. Easpórtálann modh EAP rathúil eochair seisiúin, agus ríomhtar ualach deiridh AUTH an tionscnóra uaidh, mar sin tá cruthúnas an úsáideora agus eochracha an tolláin ceangailte le chéile. Níl a mhacasamhail ag XAuth: tagann a tréithe i ndiaidh na chéad chéime agus ní chuireann siad aon rud leis na heochracha. Is é an bhearna sin go díreach a dearadh creat IKEv2 chun a dhúnadh, agus is é sin an fáth a bhfíoraíonn logáil isteach IKEv2 a oibríonn an teastas freastalaí sula n-iarrann sé aon rud.
Is diagnóis úsáideach é an t-ord seo freisin. Nuair a dhéanann cliant gearán faoi dhintiúir sula dtaispeánann sé teastas duit, níl sé ag déanamh malartú EAP de chuid IKEv2 ar chor ar bith.
Coinnigh trí fhéiniúlacht ar leith
Téann aistriú chun donais nuair a thiteann trí fhéiniúlacht isteach i réimse amháin. Tá féiniúlacht an gheata a bhfíoraíonn an cliant ann, de ghnáth ainm DNS sa subject nó sa SAN den teastas. Tá féiniúlacht an úsáideora a chuirtear i láthair in EAP ann, b'fhéidir logáil isteach fearainn, seoladh nó teaghrán féiniúlachta EAP soiléir. Agus tá foinse an údaraithe ann a dhéanann mapáil an úsáideora sin ar líonraí agus ar bhealaí.
Déanann comhréir swanctl de chuid strongSwan an deighilt sin feiceálach: socraíonn an nasc remote { auth = pubkey } don gheata agus local { auth = eap-mschapv2 } don úsáideoir, agus iompraítear féiniúlacht EAP ar leith.
Nuair atá féiniúlacht an úsáideora sa phróifíl nua difriúil ó sheantréithe XAuth, mar shampla UPN in ionad ainm ghearr, feiceann an freastalaí fíordheimhniúcháin úsáideoir anaithnid agus breathnaíonn an teip mar phasfhocal mícheart. Seiceáil an teaghrán féiniúlachta sula seiceálann tú na dintiúir.
Mapáil na roghanna agus ansin bí ag súil le gaistí
Tá an mhapáil gearr agus tá gaiste ag gach ró nach bhfeictear ach ag am an fhíordheimhniúcháin.
| Legacy hybrid element | IKEv2 equivalent | Where it bites |
|---|---|---|
| Gateway certificate, no client certificate | Responder authenticated with pubkey, initiator with EAP | The server needs an EAP method configured, not just a certificate |
| XAuth username and password | EAP-MSCHAPv2 or an inner method | Password policy and account format differ from the old directory field |
| XAuth attribute replies | IKEv2 configuration payload | Attribute numbering is unrelated; nothing is renamed |
| Proxy IDs from quick mode | TS_i and TS_r in IKE_AUTH | Narrowing on the responder can leave an IKE SA with no child SA |
Ní athainmniú amháin aon ró díobh sin. Seachadann ualach an chumraíocht seoltaí agus réiteoirí trí liosta tréithe clóite, agus ba é spás tréithe XAuth a aireagán féin; is é a gcaitheamh mar rudanna inmhalartaithe an bealach a chríochnaíonn próifíl ag iarraidh socraithe nach seolfaidh an geata choíche.
Tá rabhadh dá gcuid féin tuillte ag roghnóirí tráchta. Chuir IKEv1 an trácht spéise in iúl trí IDanna seachfhreastalaí a bhí ceangailte le malartú quick mode, agus déanann IKEv2 na roghnóirí a idirbheartú le linn IKE_AUTH agus féadfaidh an taobh a fhreagraíonn iad a chúngú. Cruthaíonn mí-oiriúnacht IKE SA bunaithe gan child SA, rud a thaispeánann roinnt cliant go sásta mar rud ceangailte.
Caith leis an seanchónasc mar theorainn
Dearbhaíonn RFC 9395 go bhfuil IKEv1 as feidhm, mar sin is teorainn chomhoiriúnachta le dáta é seanchónasc hibrideach, ní bunsraith. Rith an dá phróifíl le chéile le linn an athraithe, mar ní hé an tástáil atá tábhachtach cé acu a éiríonn an phróifíl nua, ach cé acu a shroicheann an t-úsáideoir céanna ar an bhfeiste chéanna na hacmhainní céanna.
Coinnigh bailíochtú na dteastas docht go deireadh. Nuair a stopann an cliant de theastas a chur i láthair, is é an cathú an tseiceáil freastalaí a scaoileadh go dtí go gcríochnaíonn an chroitheadh láimhe, agus malartaíonn sé sin an t-aon chruthúnas atá fágtha ar dheilbhín glas.
Scríobh síos ceithre rud sula dtéann tú ar scor ón tseanphróifíl: an modh EAP, an teaghrán féiniúlachta, foinse an údaraithe agus an dáta a gcríochnaíonn an tacaíocht.