strongSwan EAP: asalin IKE da sunan AAA da ake tsammani

Tabbatarwa ta EAP a kan IKEv2 na iya buƙatar abokin ciniki ya tabbatar da sunayen sabar biyu daban-daban a cikin haɗi ɗaya. Ƙofar da ke ƙare IKE na gabatar da asali ɗaya, kuma ɓangaren baya na EAP da ke ƙare musayar TLS ta ciki na iya gabatar da wani. A cikin strongSwan suna zaune a cikin tubalan saiti daban-daban, kuma sanya suna a cikin tubali mara kyau na haifar da gazawa da ke kama da matsalar takardar shaida. Karanta wace tabbatarwa ta gaza ita ce ke gaya maka wane tubali za ka gyara.

Haɗi ɗaya, asalin sabar biyu

Asalin farko na musayar IKE ne. Abokin ciniki na kiran adireshi kuma yana tsammanin ɗayan ya tabbatar da takamaiman asali, yawanci sunan da ke cikin takardar shaidar ƙofar.

Na biyu na EAP ne. Tare da PEAP ko TTLS, abokin ciniki na gina rami na TLS zuwa sabar tabbatarwa a cikin IKE SA, kuma wannan sabar ta ciki na gabatar da takardar shaidarta. Lokacin da ɓangaren baya ya zama mai masauki daban, sunansa ya bambanta da na ƙofar. Abokin ciniki da ke duba sunan farko kawai na karɓar duk abin da na biyu ya faɗa. Kuma abokin ciniki da aka saita da suna ɗaya a wurare biyu na gaza da zarar biyun sun bambanta da gaske.

Duk sunayen biyu daga saitin mai gudanarwa suke zuwa, ba daga takardar shaidar da ke kawar da kuskuren ba. Tambayar mai gudanarwa game da bayanan turawa ya fi sauri fiye da hasashen sunayen masauki biyu.

Wane fili na wane matakin ne

A cikin swanctl adireshi da asalin IKE saituna ne daban, kuma asalin EAP na uku ne.

Adireshin nesa na zaɓar inda fakiti ke zuwa, kuma asalin nesa na faɗin abin da ɗayan ya kamata ya tabbatar. Ana rubuta tsammanin EAP ƙarƙashin tubalin local, domin yana bayyana musayar EAP na wannan abokin ciniki ba halin IKE na ɗayan ba. Wannan wurin ne mutane ke karantawa ba daidai ba. Sunan yana cikin saitin abokin ciniki yayin da yake bayyana sabar, kuma shi ya sa yake kamar an sanya shi a wuri mara kyau.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Wannan guntun ba cikakken haɗi ba ne; kayan amincewa, takardun shaidar shiga da manufofin haɗin yara har yanzu dole su kasance. Kwafa shi daidai cikin fayil mai aiki zai maye gurbin saitunan da har yanzu kake buƙata.

Me ya sa aaa_id yake zaune ƙarƙashin local

Tubalin local na bayyana abin da wannan gefen ke yi a lokacin tabbatarwa, ciki har da hanyar da zai yi amfani da ita da asalin da yake tsammanin ɗayan gefen zai gabatar don wannan hanyar. Babu wani abu a ciki da ke cewa sabar AAA tana aiki a kan inji ɗaya.

Tsohuwar ƙima na sa tarkon ya fi kaifi. Idan ba a saita ƙima bayyananna ba, asalin AAA da ake tsammani na bin asalin nesa, don haka turawa da suna ɗaya na aiki kuma tana ɓoye bambancin. Ƙima bayyananna tana da muhimmanci ne kawai idan turawar EAP da gaske ta ƙare wani wuri. Saita shi zuwa wani suna ba tare da wannan dalili ba na haifar da gazawar da mai gudanarwa ba zai iya sakewa. Karanta turawar kafin ka ƙirƙiri suna na biyu.

Riƙe ƙimar daidai da abin da takardar shaidar ɓangaren baya ta faɗa da gaske, ciki har da siffar sunan. Digo a ƙarshe ko alamar wakilci da ba ta rufe masaukin ya isa a kasa tabbatarwa.

Fuskoki da ba za su iya bayyana rabuwar ba

Bayanan NetworkManager ba shi ne fagen saiti ɗaya da swanctl ba. Ƙarin da ke bayansa na bayyana ƙaramin jerin sarrafa asali, kuma waɗanne ne suke wanzu ya dogara da sigar da aka shigar.

Wannan yana da muhimmanci lokacin da turawar da gaske take buƙatar sunaye biyu. Filin da aka yi wa lakabi da asalin sabar na iya saita mataki ɗaya ba ɗayan ba, don haka bayanan na iya kamar daidai ne kuma har yanzu ya gaza tabbatarwar ciki. Duba abin da ƙarin da aka shigar ke goyon baya kafin ka ɗauka cewa bayanan na iya bayyana wannan tsari. Idan ba zai iya ba, zaɓin na mai gudanarwa ne: wata hanyar samarwa, ko ingantaccen tsarin asalin sabar. Rarrauna PEAP ko karɓar kowane suna na canza manufar tabbatarwa maimakon gyara ta.

Madadin ba wani abu ba ne da za a ƙirƙira a kan abokin ciniki. Nemi tsarin da ake goyon baya a rubuce, sannan ka ajiye wannan amsar tare da bayanan.

Bambanta rashin daidaituwar asali da takardar shaida da ta ƙare

Rashin daidaituwar suna da takardar shaida da ta ƙare gazawa ne daban-daban, kuma littafin na bambanta su. Karanta saƙon kafin ka yanke shawara wane fili za ka canza.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Saita asalin AAA da ake nufi ba ya sabunta takardar shaida ko kafa amincewa ga mai bayar da ita, kuma sabunta takardar shaida ba ya gyara kuskuren sunan da ake tsammani. Karanta wace tabbatarwa ta gaza kafin ka gyara wani filin asali. Sannan sake loda saitin kuma tabbatar cewa haɗin da aka loda na nuna ƙimar da ka saita, domin fayil da aka gyara da ba a taɓa lodawa ba ya canza komai. Rubuta sunayen biyu da matakansu cikin bayanan turawa.