iPhone IKEv2 થી RouterOS: કઈ ઓળખ ક્યાં જાય છે
ચાર અલગ દાવા iOS પરની IKEv2 સુરંગ નક્કી કરે છે: ડાયલ કરેલું સરનામું, અપેક્ષિત સર્વર ઓળખ, દાવો કરેલી ક્લાયન્ટ ઓળખ અને પ્રમાણપત્ર સામગ્રી.
MikroTik ગેટવે સુધી પહોંચવું IKEv2 જમાવટનો ફક્ત પરિવહન અડધો ભાગ હલ કરે છે અને બીજું કંઈ નહીં. પછી ચાર અલગ દાવા નક્કી કરે છે કે સુરંગ બનશે કે નહીં: ફોન જે સરનામું ડાયલ કરે છે, જે સર્વર ઓળખ તે ધારે છે, જે ઓળખ તે પોતાના માટે દાવો કરે છે, અને તે દાવાને ટેકો આપતી પ્રમાણપત્ર સામગ્રી. તેમને આ જ ક્રમમાં ચકાસો, અને ગેટવે જે રજૂ કરે છે તેની સાથે ન મળતા પહેલા દાવા પર થોભો. દરેક અલગ જગ્યાએ સંપાદિત થાય છે, તેથી ખોટું સંપાદન સામાન્ય રીતે ભૂલ સુધારવાને બદલે તેને ખસેડે છે.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
પ્રોફાઇલ ક્ષેત્રોને જે ક્રમમાં વિનિમય તેમનો ઉપયોગ કરે છે તે ક્રમમાં ચકાસો
દૂરનું સરનામું પ્રથમ IKE પેકેટનું ગંતવ્ય છે અને વધુ કંઈ નહીં. દૂરનું ઓળખકર્તા એ છે જે ફોન ધારે છે કે ગેટવે પોતે છે તેવું સાબિત કરશે, અને તે નામ છે, માર્ગ નહીં. બંનેને એક જ હોસ્ટનામથી ભરવું ત્યારે કામ કરે છે જ્યારે ગેટવેના પ્રમાણપત્રમાં તે નામ હોય, અને ન હોય ત્યારે રૂટિંગ સમસ્યા જેવું લાગે તે રીતે નિષ્ફળ જાય છે. પ્રોફાઇલને ભરવાના ક્ષેત્રોની યાદી નહીં, દાવાઓની શ્રેણી તરીકે વાંચો.
સ્થાનિક ઓળખકર્તા ફોનનો પોતાનો દાવો છે, અને તે એવું નામ હોવું જોઈએ જે ફોન જે ક્લાયન્ટ પ્રમાણપત્ર રજૂ કરે છે તેના માટે RouterOS ઓળખ એન્ટ્રી સ્વીકારે. જો બંને ન મળે, તો પ્રમાણપત્ર પોતે માન્ય થયા પછી ગેટવે જોડાણ નકારી કાઢે છે, અને લોગ નામકરણની નહીં, અધિકૃતિની સમસ્યા જેવો લાગે છે.
ઓળખકર્તાઓને ગેટવે જે રજૂ કરે છે તેની સામે ચકાસો
પ્રમાણપત્ર પ્રમાણીકરણ માટે ગોઠવેલી RouterOS પીયર એન્ટ્રી પોતાનું પ્રમાણપત્ર રજૂ કરે છે, અને બીજી રીતે ગોઠવ્યું ન હોય તો તેની ઓળખ તે પ્રમાણપત્રમાંથી લેવાય છે. જો ફોનનું દૂરનું ઓળખકર્તા ગેટવેનું DNS નામ દર્શાવે, તો ગેટવેના પ્રમાણપત્રમાં તે નામ એવી જગ્યાએ જોઈએ જે ફોન સ્વીકારે, સામાન્ય રીતે વિષયના વૈકલ્પિક નામમાં. બીજા સામાન્ય નામ માટે જારી કરેલું પ્રમાણપત્ર કી અને શૃંખલા પરફેક્ટ હોવા છતાં માન્ય થશે નહીં.
મેનેજ કરેલા Apple પ્રોફાઇલ ઓળખકર્તા ક્ષેત્રો ઉપરાંત મૂલ્યાંકન થતી પ્રમાણપત્ર-નામ મર્યાદા પણ ધરાવી શકે છે. સેટિંગ્સ સ્ક્રીન બતાવે છે તેમાંથી માન્યતા નામ અનુમાનિત કરવાને બદલે પેલોડની તપાસ કરો, કારણ કે બંને એક જ સેટિંગ નથી.
ચકાસો કે ક્લાયન્ટ પ્રમાણપત્ર એ કી છે, ફક્ત વિશ્વાસ લંગર નહીં
CA પ્રમાણપત્ર આયાત કરવાથી ફોનને ગેટવે માન્ય કરવા માટે કંઈક મળે છે. તે ફોનને ક્લાયન્ટ ઓળખ આપતું નથી, અને પ્રમાણપત્ર પ્રમાણીકરણ માટે ક્લાયન્ટ લીફ પ્રમાણપત્ર અને તેની ખાનગી કી મંજૂર નોંધણી માર્ગ દ્વારા સાથે પહોંચાડવી પડે છે. ખાનગી કી વિના બનાવેલું PKCS#12 એવું પ્રોફાઇલ બનાવે છે જે સ્વચ્છ રીતે સ્થાપિત થાય છે અને કંઈ પણ પ્રમાણિત કરતું નથી.
ક્લાયન્ટ લીફને RouterOS બાજુ જે ઓળખ ધારે છે તે પણ જોઈએ, એટલે કે વિષય અથવા વિષયનું વૈકલ્પિક નામ સંબંધિત ઓળખ ગોઠવણી સાથે મેળ ખાવું જોઈએ. એક CA થી ક્લાયન્ટ અને સર્વર પ્રમાણપત્રો જારી કરવાથી શૃંખલા અનુકૂળ બને છે અને બે લીફ અદલાબદલી કરી શકાય તેવા બનતા નથી.
ચકાસો કે RouterOS નીતિ તે નામ સ્વીકારે છે
ગેટવે પર પીયર એન્ટ્રી વિનિમય મોડ અને પ્રમાણીકરણ પદ્ધતિ નક્કી કરે છે, અને ઓળખ એન્ટ્રી સ્વીકૃત દૂરની ઓળખને પ્રમાણપત્ર અને તેના પછીની નીતિ સાથે જોડે છે. RouterOS v7 માં આ જોડી IPsec પીયર અને ઓળખ એન્ટ્રીઓ દ્વારા વ્યક્ત થાય છે, જેમ કે auth-method=digital-signature સાથેની IKEv2 પીયર. જૂની આવૃત્તિ માટે લખાયેલી માર્ગદર્શિકા નહીં, તમારી સ્થાપિત આવૃત્તિની વાસ્તવિક મેનુ સામગ્રી ચકાસો.
અહીં જ અસંગતિ સુધારવી સૌથી સસ્તી છે, કારણ કે ગેટવે તમને તે જે ઓળખ મેળવી અને જે ઓળખ ઈચ્છતું હતું બંને કહી શકે છે. ભૂલ શાંત કરવા સ્વીકૃત ઓળખ પહોળી કરવાથી તે બંધન દૂર થાય છે જેણે જમાવટને અર્થ આપ્યો હતો.
કંઈ પણ સંપાદિત કરતાં પહેલાં ચકાસો કે કયો તબક્કો નિષ્ફળ ગયો
બંને છેડે પ્રયાસ વાંચો અને પ્રસ્તાવ બદલતાં પહેલાં તેનું વર્ગીકરણ કરો. પ્રસ્તાવની અસંગતિ, ખૂટતી સહી કી, અવિશ્વસનીય ઈશ્યુઅર, ખોટું પીયર ઓળખકર્તા અને નકારાયેલી ક્લાયન્ટ અધિકૃતિ — બધા ફોનથી મૃત સુરંગ જેવા લાગે છે, અને દરેકનો માલિક અલગ છે. પાંચેય સેટિંગ એકસાથે બદલવાથી ખાતરી છે કે પરિણામમાંથી તમે કંઈ શીખશો નહીં.
રજૂ કરેલી ઓળખ, ધારેલી ઓળખ, પ્રમાણપત્રનો ઈશ્યુઅર અને સીરિયલ નંબર તથા સંબંધિત નીતિનું નામ નોંધો, અને ખાનગી કી તથા પ્રોફાઇલ રહસ્યો તે નોંધની બહાર રાખો. પ્રમાણીકરણ સફળ થાય પછી, ખાનગી સેવા અને તેના જવાબની કસોટી કરો, કારણ કે IKE વિનિમય પૂરો થયા પછી પણ સરનામાં ફાળવણી, સિલેક્ટર, DNS અને ઍક્સેસ નીતિ કામ કરવી પડે છે.