strongSwan EAP: féiniúlacht IKE versu an t-ainm AAA a bhfuiltear ag súil leis

Féadfaidh fíordheimhniú EAP thar IKEv2 a iarraidh ar chliant dhá ainm freastalaí éagsúla a bhailíochtú in aon nasc amháin. Cuireann an geata a chríochnaíonn IKE féiniúlacht amháin i láthair, agus féadfaidh an cúltaca EAP a chríochnaíonn an malartú inmheánach TLS féiniúlacht eile a chur i láthair. I strongSwan maireann siad i mbloic chumraíochta éagsúla, agus cruthaíonn ainm sa bhloc mícheart teip a bhféachann sé cosúil le fadhb deimhnithe. Is é léamh an bhailíochtaithe a theip ná an rud a insíonn duit cé na bloic le cur in eagar.

Aon nasc amháin, dhá fhéiniúlacht freastalaí

Baineann an chéad fhéiniúlacht leis an malartú IKE. Diaileann an cliant seoladh agus tá sé ag súil go gcruthóidh an piaraí féiniúlacht áirithe, de ghnáth an t-ainm i ndeimhniú an gheata.

Baineann an dara ceann le EAP. Le PEAP nó TTLS, tógann an cliant tollán TLS chuig an bhfreastalaí fíordheimhnithe laistigh den IKE SA, agus cuireann an freastalaí inmheánach sin a dheimhniú féin i láthair. Nuair is óstach ar leithligh an cúltaca, bíonn a ainm difriúil ó ainm an gheata. Glacann cliant nach ndéanann seiceáil ach ar an gcéad ainm le cibé rud a dhearbhaíonn an dara ceann. Agus teipeann ar chliant atá cumraithe le hainm amháin sa dá áit a luaithe a bhíonn an dá cheann difriúil i ndáiríre.

Tagann an dá ainm ó chumraíocht an oibreora, ní ón deimhniú a chuireann deireadh leis an earráid. Is tapúla ná buille faoi thuairim a thabhairt do dhá ainm óstaigh ná sonraí an imscartha a fháil ón oibreoir.

Cén réimse a bhaineann le cén ciseal

I swanctl is socruithe ar leithligh iad an seoladh agus an fhéiniúlacht IKE, agus is é an fhéiniúlacht EAP an tríú ceann.

Roghnaíonn an seoladh cianda cá dtéann na paicéid, agus deir an fhéiniúlacht chianda cad a chaithfidh an piaraí a chruthú. Scríobhtar ionchas EAP faoin mbloc local, mar go ndéanann sé cur síos ar mhalartú EAP an chliaint seo seachas ar iompar IKE an phiaraí. Is é an socrú áite sin an chuid a léitear mícheart. Seasann an t-ainm i gcumraíocht an chliaint agus é ag cur síos ar fhreastalaí, agus is ar an gcúis sin go díreach a bhféachann sé as áit.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Ní nasc iomlán é an blúire sin; caithfidh ábhar muiníne, dintiúir agus beartais na nasc leanbh a bheith ann fós. Chuirfeadh cóipeáil focal ar fhocal isteach i gcomhad oibre socruithe a bhfuil tú fós ag teastáil uathu in ionad.

Cén fáth a maireann aaa_id faoi local

Déanann an bloc local cur síos ar a ndéanann an taobh seo le linn fíordheimhnithe, lena n-áirítear an modh a úsáidfidh sé agus an fhéiniúlacht a bhfuil sé ag súil go gcuirfidh an taobh eile i láthair don mhodh sin. Ní dhearbhaíonn aon rud ann go ritheann an freastalaí AAA ar an meaisín céanna.

Déanann an réamhshocrú an gaiste níos géire. Nuair nach bhfuil aon luach sainráite socraithe, leanann an fhéiniúlacht AAA mheasta an fhéiniúlacht chianda, mar sin oibríonn imscaradh le hainm amháin agus cuireann sé an chomparáid i bhfolach. Níl tábhacht ag baint le luach sainráite ach amháin nuair a chríochnaíonn imscaradh EAP áit éigin eile i ndáiríre. Nuair a shocraítear ar ainm eile é gan an chúis sin cruthaítear teip nach féidir leis an oibreoir a atáirgeadh. Léigh an t-imscaradh sula ndéanfaidh tú ainm eile a chumadh.

Coinnigh an luach comhionann lena ndearbhaíonn deimhniú an chúltaca i ndáiríre, lena n-áirítear foirm an ainm. Is leor ponc deiridh nó saoróg nach gclúdaíonn an t-óstach chun go dteipfeadh an tseiceáil.

Tosaithe nach féidir leo an deighilt a chur in iúl

Ní hé próifíl NetworkManager an chomhéadan cumraíochta céanna le swanctl. Nochtann an breiseán taobh thiar de sraith níos cúinge de rialuithe féiniúlachta, agus braitheann cé acu atá ann ar an leagan atá suiteáilte.

Bíonn tábhacht leis sin nuair a bhíonn dhá ainm de dhíth go fírinneach ar an imscaradh. Féadfaidh réimse atá lipéadaithe féiniúlacht an fhreastalaí ciseal amháin a chumrú agus ní an ceann eile, mar sin féadann próifíl féachaint ceart agus mainneachtain sa tseiceáil inmheánach fós. Seiceáil cad a thacaíonn an breiseán suiteáilte leis sula ngabhfaidh tú sa bhuille faoi thuairim go bhféadann an phróifíl an socrú sin a chur in iúl. Mura féidir, is leis an oibreoir an rogha: cosán soláthair eile, nó dearadh ceartaithe ar fhéiniúlacht an fhreastalaí. Athraíonn lagú PEAP nó glacadh le haon ainm an beartas fíordheimhnithe in ionad é a shocrú.

Ní rud é an rogha eile atá le cumadh ar an gcliant. Iarr an socrú tacaíochta i scríbhinn, ansin coinnigh an freagra sin leis an bpróifíl.

Idirdhealaigh éagothroime féiniúlachta ó dheimhniú as feidhm

Is teipeanna éagsúla iad éagothroime ainm agus deimhniú as feidhm, agus déanann an logáil idirdhealú eatarthu. Léigh an teachtaireacht sula gcinne tú cé acu réimse a athrú.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Ní athnuaíonn socraíocht na féiniúlachta AAA beartaithe deimhniú ná ní bhunaíonn sé muinín ina eisitheoir, agus ní cheartaíonn athnuachan deimhnithe ainm mheasta mícheart. Léigh an bailíochtú a theip sula gcuirfidh tú réimse féiniúlachta eile in eagar. Ansin athlódáil an chumraíocht agus deimhnigh go dtaispeánann an nasc lódáilte an luach a shocraigh tú, mar nach n-athraíonn comhad curtha in eagar nár lódáiltear riamh aon rud. Scríobh an dá ainm agus a gciseal sna nótaí imscartha.