IKE identitet ili adresa krajnje točke: nemojte ih miješati
IKE identitet tipa FQDN doslovna je vrijednost provjere autentičnosti, a ne obrnuto DNS pretraživanje. Držite odvojeno adresu krajnje točke, lokalni identitet i očekivanog peera.
Čitajte polje označeno kao FQDN identitet kao doslovni niz, a ne kao zahtjev za obrnutim DNS imenom vaše javne adrese. U parseru strongSwan to je upravo to, niz, i čitanje ga nikada ne razrješava u krajnju točku. Sama ta činjenica uklanja najčešću smetnju kada birate identifikatore za peera. Provjere u nastavku sprječavaju da se tri uključene vrijednosti stope u jednu.
Oznaka nije pretraživanje
Sučelja proizvođača labavo rabe riječi poput FQDN i hostname, a oznaka na kutiji ne govori ništa o kodiranju iza nje. Uređaj koji polje naziva Client FQDN može poslati FQDN, niz u obliku e-pošte ili golu adresu. Tretirajte tekst i tip kao dvije odvojene odluke i zabilježite oboje.
Ništa u doslovnom identitetu ne zahtijeva DNS. To je tvrdnja koju provjerava druga strana, a ne ime koje mreža mora razriješiti.
Tri odvojene vrijednosti, odvojeno zapisane
Tri posla stoje iza jednog zaslona konfiguracije, a njihovo spajanje skupa je greška. Jedna vrijednost je adresa krajnje točke, koja odlučuje kamo paketi idu. Druga je lokalni identitet koji ovaj peer predstavlja, a treća je identitet koji očekujete od udaljene strane prije nego je autentificirate. Zapišite ih kao tri retka u tiketu promjene, jer sve manje od toga opisuje VPN, a ne odnos.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Primjerni identiteti moraju se odabrati i autorizirati kao dio implementacije. To su tvrdnje koje provjera autentičnosti potvrđuje, a ne vjerodajnice koje bi ikojeg peera učinile pouzdanim, pa niz koji izgleda uvjerljivo ne autorizira ništa.
Tip je dio vrijednosti
Referenca identiteta strongSwan razdvaja FQDN, vrijednosti u obliku e-pošte, IP adrese i druga kodiranja, pa je kodiranje jednako važno kao znakovi. Dva uređaja mogu prihvatiti isti tekst pod različitim tipovima i ipak odbiti jedan drugoga. Bilješka koja zapisuje vrijednost bez njezina tipa pola je konfiguracije.
Pitajte proizvođača koji tip uređaj doista šalje i potvrdite to dekodiranjem, a ne oznakom sučelja. Pogrešno pretpostavljen tip je nepodudarnost koja čeka sljedeću promjenu.
Svaka strana mora zadovoljiti drugu
Lokalni identitet svake strane mora proći politiku provjere autentičnosti druge strane. To nije isto što i zalijepiti jedan niz u svako polje identiteta na oba uređaja, što je prečac koji stvara konfiguraciju koju nitko ne može otkloniti pogreške.
Provjera autentičnosti certifikatom dodaje vlastite zahtjeve jer identitet certifikata i uvjeti povjerenja stoje uz IKE identitet koji ste upisali. Samo podudaranje IKE identiteta ne autorizira peera s certifikatom.
Gdje je DNS važan i što vaša verzija nameće
Hostname pristupnika koji se koristi za otkrivanje doista treba radni DNS, a taj zahtjev pripada pronalaženju krajnje točke, a ne ikakvom obrnutom pretraživanju upisanog identiteta. Držite to dvoje odvojeno u tiketu jer se neuspjeh otkrivanja i nepodudarnost identiteta čitaju slično u zapisu klijenta i popravljaju na različitim mjestima.
Pročitajte parser za proizvod i verziju koju stvarno pokrećete prije nego kopirate sintaksu koja nameće tip, jer su se starija izdanja strongSwan ponašala drukčije i drugi proizvođači dodaju vlastita ograničenja. Kada uspoređujete dva kraja, držite četiri stvari zajedno: očekivani identitet, predstavljeni identitet, tip i pogrešku provjere autentičnosti. Taj skup pretvara nepodudarnost u dokaz umjesto u mišljenje.