Oibríonn malartú IKEv2, ansin teipeann an fhíordheimhniú: cá háit

Tá sé cruthaithe ag cliant a fhaigheann freagra IKEv2 go bhfuil an geata inrochtana, gur féidir leis an dá thaobh togra a chaibidil agus gur críochnaíodh an chéad mhalartú eochracha. Níl sé cruthaithe aige go bhfuil aon duine fíordheimhnithe. Iompraíonn an chéad mhalartú eile féiniúlachtaí, teastais nó EAP, agus is ansin a stopann an nasc de ghnáth. Is é an diagnóis iomlán ná a léamh cé acu de na seiceálacha sin a theip, agus is annamh a deir an teachtaireacht earráide féin é.

Seiceáil 1: léigh an chéim, ní an teachtaireacht

Is féidir le diúltú teacht ó thrí áit: an cliant ag diúltú fhéiniúlacht an fhreastalaí, an geata ag diúltú cruthúnais an chliaint agus seirbhís fhíordheimhniúcháin sheachtrach ag diúltú an chuntais.

Tá líne loga dhifriúil ag gach ceann ar mheaisín difriúil, agus tá socrú difriúil ag gach ceann. Is fadhb muiníne nó ainmniúcháin ar an gcliant é diúltú teastas an fhreastalaí ar thaobh an chliaint; is fadhb muiníne ar an geata é diúltú theastas an chliaint ar thaobh an gheata; is fadhb cuntais nó inneallchúil é teip EAP. Is é an teachtaireacht a fheiceann tú ná achoimre an chliaint ar cheann acu sin de ghnáth, agus sin an fáth a bhfuil loga an gheata chomh tábhachtach le loga an chliaint.

Seiceáil 2: cén fhéiniúlacht a seiceáladh

Is féidir le cliant teastas an fhreastalaí nó an fhéiniúlacht a bhfuiltear ag súil léi a dhiúltú sula dtairgtear aon dintiúir úsáideora, agus ní hionann seoladh freastalaí atá ag obair agus an tseiceáil sin. Caithfidh an t-aitheantóir a bhfuil súil ag an gcliant leis a bheith ag teacht leis an méid a chuireann an geata i láthair, rud is fíric chumraíochta seachas fíric líonra.

I dtéarmaí strongSwan is é sin rightid ar an gcliant agus féiniúlacht an gheata féin ar an taobh eile, agus teipeann mí-chomhoiriúnú sula pléitear EAP fiú.

Is féidir leis an geata, ar leithligh, teastas an chliaint, a chruthúnas eochrach nó a fhíordheimhniú cuntais a dhiúltú, agus ní féidir an trí sin a mhalartú. Ní féidir le hathshocrú pasfhocail úsáideora teastas gléis a athnuachan, agus ní féidir le hathshuiteáil teastais ghléis féiniúlacht fhreastalaí mhícheart a shocrú. I gcás teipeanna teastais, seiceáil an clog ar dtús, ansin an slabhra muiníne, ansin an t-aitheantóir a bhfuiltear ag súil leis; teipeann ar chliant a bhfuil a chlog cúpla nóiméad as ar sheiceáil bhailíochta a bhféachann cosúil le teip mhuiníne. swanctl --list-certs ar an dá cheann a thaispeánann an méid atá i seilbh gach taobh i ndáiríre.

Seiceáil 3: má tá EAP i gceist

Caithfidh an cliant agus an freastalaí teacht ar aontú ar mhodh tacaithe, agus caithfidh an t-inneall cúil glacadh leis an bhféiniúlacht a sholáthraítear.

B’fhéidir go mbeadh sufix fearainn nó formáid chuntais ar leith de dhíth ar ainm úsáideora a éilíonn an t-imscaradh, agus tá an fhormáid doiciméadaithe seachas intuartha. Is tapúla na réimsí doiciméadaithe ag an oibreoir a sholáthar ná athruithe a thriail, agus seachnaíonn sé dara fadhb: is féidir le hiarrachtaí arís agus arís eile glasáil cuntais a spreagadh, a cheiltíonn an chéim bhunaidh ansin taobh thiar de theip nua. Más é EAP-MSCHAPv2 an modh i gcoinne eolaire, b’fhéidir gur leis an eolaire seachas leis an VPN ar chor ar bith an teip.

Ná tástáil fadhbanna féiniúlachta trí sheiceálacha féiniúlachta a dhíghníomhachtú. Athraíonn sé sin teip in-diagnóisithe go teip dho-dhiagnóisithe agus fágann sé an nasc níos laige ná roimhe.

Seiceáil 4: cad a tharlaíonn tar éis logáil isteach rathúil

Nuair a chríochnaíonn IKE_AUTH, socraíonn caibidlíocht CHILD_SA cé na roghnóirí tráchta a shuiteáiltear, agus is ansin a fhéadfaidh nasc rath a bheith air agus fós rud ar bith a rith.

Is minic a nochtann logáil isteach atá ag obair as an nua fadhb roghnóra nó bealaigh a bhí i bhfolach taobh thiar de theip an fhíordheimhnithe roimhe seo. Má thagann an tollán aníos agus mura féidir le feidhmchlár a cheann scríbe a shroicheadh fós, féach ar na roghnóirí agus na bealaí a caibidlíodh seachas ar an bhféiniúlacht arís. Díríonn athrú socruithe féiniúlachta ag an bpointe sin ar an gcéim mhícheart agus briseann sé logáil isteach atá ag obair de ghnáth. Deimhnigh le swanctl --list-sas, a thaispeánann na páistí agus a roghnóirí ar leithligh ón IKE SA.

Seiceáil 5: cad le tabhairt don tacaíocht

Is fiú níos mó amlíne ghlanta agus an diúltú beacht ná onnmhairiú diagnóiseach iomlán, agus b’fhéidir go mbeadh eochracha príobháideacha nó dintiúir san onnmhairiú nár cheart duit a roinnt.

Taifead an t-am leis an gcrios ama, leaganacha an chliaint agus an gheata, an modh, an teaghrán féiniúlachta a tairgeadh seachas an pasfhocal, agus an chéim bheacht a dhiúltaigh é. Cuireann doiciméadú cumraíochta IKEv2 strongSwan síos ar na socruithe féiniúlachta agus EAP a shocraíonn na torthaí seo, agus is é an tagairt le léamh sula n-athraítear réimse. Ansin athraigh rud amháin agus aththástáil nasc úr, mar inseoidh seisiún i dtaisce duit faoin seanchumraíocht.