iPhone IKEv2 go RouterOS: cé acu aitheantóir a théann cá háit
Cinneann ceithre éileamh ar leith tollán IKEv2 ar iOS: an seoladh a dhiailtear, an t-aitheantas freastalaí a bhfuiltear ag súil leis, an t-aitheantas cliaint a éilítear agus ábhar an deimhnithe.
Ní réitíonn teacht ar gheata MikroTik ach leath iompair d'imscaradh IKEv2 agus ní dhéanann sé aon rud eile. Ansin cinneann ceithre éileamh ar leith an bhfoirmfear an tollán: an seoladh a dhiaileann an fón, an t-aitheantas freastalaí a bhfuiltear ag súil leis, an t-aitheantas a éilíonn sé dó féin, agus an t-ábhar deimhnithe a thacaíonn leis an éileamh sin. Seiceáil iad san ord sin, agus stad ag an gcéad cheann nach n-aontaíonn leis an méid a chuireann an geata i láthair. Tá gach ceann in-eagarthóireachta in áit dhifriúil, agus mar sin is minic a bhogann eagarthóireacht mhícheart an teip in ionad í a shocrú.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Seiceáil réimsí an phróifíle san ord a úsáideann an malartú iad
Is é an seoladh cianda ceann scríbe na chéad phaicéid IKE agus ní rud ar bith eile. Is é an t-aitheantóir cianda an rud a bhfuil súil ag an bhfón go gcruthóidh an geata gurb ea é féin, agus is ainm é, ní bealach. Oibríonn an dá rud a líonadh leis an óstainm céanna nuair a iompraíonn deimhniú an gheata an t-ainm sin, agus teipeann sé ar bhealach a bhreathnaíonn mar fhadhb ródaithe nuair nach n-iompraíonn sé é. Léigh an phróifíl mar sheicheamh éileamh seachas mar liosta réimsí le líonadh isteach.
Is é an t-aitheantóir áitiúil éileamh an fhóin féin, agus caithfidh sé a bheith ina ainm a nglacann iontráil aitheantais RouterOS leis don deimhniú cliaint a chuireann an fón i láthair. Mura n-aontaíonn an dá rud, diúltaíonn an geata don nasc i ndiaidh an deimhniú féin a bheith bailíochtaithe, agus breathnaíonn an logchomhad mar fhadhb údaraithe seachas mar fhadhb ainmniúcháin.
Seiceáil na haitheantóirí i gcoinne an méid a chuireann an geata i láthair
Cuireann iontráil piara RouterOS atá cumraithe le haghaidh fíordheimhnithe deimhnithe a deimhniú féin i láthair, agus tarraingítear a haitheantas as an deimhniú sin mura bhfuil cumrú eile déanta agat. Má ainmníonn aitheantóir cianda an fhóin ainm DNS an gheata, teastaíonn an t-ainm sin ó dheimhniú an gheata in áit a nglacfaidh an fón leis, go hiondúil in ainm ábhair mhalartaigh. Ní bheidh deimhniú a eisíodh d'ainm coitianta difriúil bailíochtaithe fiú má tá an eochair agus an tslabhra foirfe.
Is féidir le próifílí Apple bainistithe srian ainm deimhnithe a iompar freisin a mheastar de bhreis ar na réimsí aitheantóra. Scrúdaigh an t-ualach seachas an t-ainm bailíochtaithe a thátal ón méid a thaispeánann an scáileán socruithe, mar ní hé an rud céanna an dá shocrú.
Seiceáil gur eochair é deimhniú an chliaint, ní hamháin ancaire muiníne
Tugann iompórtáil deimhnithe CA rud don fhón lena bhféadfaidh sé an geata a bhailíochtú. Ní thugann sé aitheantas cliaint don fhón, agus teastaíonn deimhniú duille cliaint agus a eochair phríobháideach ó fhíordheimhniú deimhnithe, á seachadadh le chéile tríd an gcosán clárúcháin ceadaithe. Cruthaíonn PKCS#12 a tógadh gan an eochair phríobháideach próifíl a shuiteáiltear go glan agus nach bhfíordheimhníonn aon rud.
Teastaíonn aitheantas ó dhuille an chliaint freisin a bhfuiltear ag súil leis ar thaobh RouterOS, rud a chiallaíonn go gcaithfidh an t-ábhar nó an t-ainm ábhair mhalartaigh teacht leis an gcumraíocht aitheantais chomhfhreagrach. Déanann eisiúint deimhnithe cliaint agus freastalaí ó CA amháin an tslabhra áisiúil agus ní dhéanann sé an dá dhuille inmhalartaithe.
Seiceáil go nglacann beartas RouterOS leis an ainm sin
Ar an ngeata, socraíonn iontráil an phiara an modh malartaithe agus an modh fíordheimhnithe, agus ceanglaíonn iontráil an aitheantais an t-aitheantas cianda glactha le deimhniú agus leis an mbeartas a leanann. I RouterOS v7 cuirtear an péire sin in iúl trí iontrálacha piara agus aitheantais IPsec, mar shampla piara IKEv2 le auth-method=digital-signature. Seiceáil ábhar iarbhír an roghchláir ar do eisiúint suiteáilte seachas treoir atá scríofa do cheann níos sine.
Seo freisin an áit is saoire míréir a shocrú, mar is féidir leis an ngeata an t-aitheantas a fuair sé agus an t-aitheantas a bhí uaidh a insint duit. Má leathnaítear an t-aitheantas glactha chun an earráid a chiúnú, baintear an ceangal a thug brí don imscaradh.
Seiceáil cén chéim a theip sula n-eagraíonn tú aon rud
Léigh an iarracht ag an dá cheann agus aicmigh í sula n-athraíonn tú togra. Breathnaíonn míréir togra, eochair sínithe atá ar iarraidh, eisitheoir neamhiontaofa, aitheantóir piara mícheart agus údarú cliaint diúltaithe uile mar thollán marbh ón bhfón, agus tá a úinéir féin ag gach ceann. Má athraítear na cúig shocrú ar fad ag an am céanna, ní fhoghlaimíonn tú aon rud ón toradh.
Taifead an t-aitheantas a cuireadh i láthair, an t-aitheantas a bhfuiltear ag súil leis, eisitheoir agus sraithuimhir an deimhnithe agus ainm an bheartais ábhartha, agus coinnigh eochracha príobháideacha agus rúin phróifíle lasmuigh den taifead sin. Nuair a n-éiríonn leis an bhfíordheimhniú, tástáil seirbhís phríobháideach agus a freagra, mar caithfidh leithdháileadh seoltaí, roghnóirí, DNS agus beartas rochtana fós oibriú tar éis an malartú IKE a bheith críochnaithe.