זהות IKE או כתובת נקודת קצה: אל תבלבלו ביניהן
זהות IKE מסוג FQDN היא ערך אימות מילולי, לא חיפוש DNS הפוך. החזיקו בנפרד את כתובת נקודת הקצה, הזהות המקומית והעמית הצפוי.
קראו שדה שמסומן כזהות FQDN כמחרוזת מילולית, לא כבקשה לשם ה-DNS ההפוך של הכתובת הציבורית שלכם. במנתח של strongSwan זה בדיוק זה, מחרוזת, וקריאה בו לעולם אינה מפענחת אותו לנקודת קצה. העובדה הזו לבדה מסירה את הסחת הדעת הנפוצה ביותר כשאתם בוחרים מזהים לעמית. הבדיקות שלהלן מונעות משלושת הערכים המעורבים להתמזג לאחד.
תוית אינה חיפוש
ממשקים של ספקים משתמשים במילים כמו FQDN ו-hostname ברישול, והתוית על קופסה אינה אומרת דבר על הקידוד שמאחוריה. התקן שקורא לשדה Client FQDN עשוי לשלוח FQDN, מחרוזת בצורת דואר אלקטרוני או כתובת חשופה. התייחסו לטקסט ולסוג כשני החלטות נפרדות ותעדו את שניהם.
שום דבר בזהות מילולית אינו דורש DNS. זו טענה שהצד השני בודק, לא שם שהרשת חייבת לפענח.
שלושה ערכים נפרדים, נכתבים בנפרד
שלוש משימות עומדות מאחורי מסך תצורה אחד, ומיזוגן הוא הטעות היקרה. ערך אחד הוא כתובת נקודת הקצה, שקובעת לאן החבילות הולכות. ערך אחר הוא הזהות המקומית שהעמית הזה מציג, והשלישי הוא הזהות שאתם מצפים לה מהצד המרוחק לפני שאתם מאמתים אותו. כתבו אותם כשלוש שורות בכרטיס השינוי, כי כל פחות מזה מתאר VPN ולא יחסים.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
יש לבחור ולאשר את זהויות הדוגמה כחלק מהפריסה. הן טענות שהאימות מאמת, לא אישורים שהופכים שום עמית לאמין, ולכן מחרוזת שנראית סבירה אינה מאשרת דבר.
הסוג הוא חלק מהערך
אסמכתא לזהויות של strongSwan מפרידה בין FQDN, ערכים בצורת דואר אלקטרוני, כתובות IP וקידודים אחרים, ולכן הקידוד חשוב כמו התווים. שני התקנים יכולים לקבל אותו טקסט תחת סוגים שונים ובכל זאת לסרב זה לזה. הערה שמתעדת את הערך בלי הסוג שלו היא חצי תצורה.
שאלו את הספק איזה סוג ההתקן באמת שולח, ואמתו זאת באמצעות פענוח ולא באמצעות תוית הממשק. סוג משוער הוא אי-התאמה שמחכה לשינוי הבא.
כל צד חייב לספק את השני
הזהות המקומית של כל צד חייבת לעבור את מדיניות האימות של הצד השני. זה אינו אותו דבר כמו להדביק מחרוזת אחת בכל תיבת זהות בשני ההתקנים, שהיא קיצור הדרך שמייצר תצורה שאיש אינו יכול לנפות.
אימות באמצעות תעודה מוסיף דרישות משלו, מפני שזהות התעודה ותנאי האמון עומדים לצד זהות ה-IKE שהקלדתם. התאמת זהות IKE לבדה אינה מאשרת עמית עם תעודה.
היכן DNS חשוב, ומה הגרסה שלכם כופה
שם מארח של שער המשמש לגילוי אכן זקוק ל-DNS עובד, והדרישה הזו שייכת למציאת נקודת הקצה ולא לחיפוש הפוך כלשהו של זהות מוקלדת. החזיקו את השניים בנפרד בכרטיס, מפני שכשל גילוי ואי-התאמת זהות נקראים דומה ביומן לקוח ומתוקנים במקומות שונים.
קראו את המנתח של המוצר והגרסה שאתם מריצים בפועל לפני שאתם מעתיקים תחביר שכופה סוג, כי גרסאות strongSwan ישנות התנהגו אחרת וספקים אחרים מוסיפים אילוצים משלהם. כשאתם משווים את שני הקצוות, החזיקו ארבעה דברים יחד: זהות צפויה, זהות מוצגת, סוג ושגיאת האימות. הסט הזה הופך אי-התאמה לראיה במקום לדעה.