IKE-identitás vagy végpontcím: ne keverd össze őket
Az FQDN típusú IKE-identitás szó szerinti hitelesítési érték, nem fordított DNS-lekérdezés. Tartsd külön a végpontcímét, a helyi identitást és az elvárt peert.
Az FQDN-identitásként feliratozott mezőt szó szerinti karakterláncként olvasd, nem a nyilvános címed fordított DNS-nevére vonatkozó kérésként. A strongSwan elemzőjében pontosan ez, egy karakterlánc, és az olvasása soha nem oldja fel végponttá. Ez a tény önmagában eltávolítja a leggyakoribb zavaró tényezőt, amikor azonosítókat választasz egy peerhez. Az alábbi ellenőrzések megakadályozzák, hogy a három érintett érték eggyé olvadjon.
A címke nem lekérdezés
A gyártói felületek lazán használják az FQDN és hostname szavakat, és a dobozon lévő címke semmit sem mond a mögötte lévő kódolásról. Egy eszköz, amely egy mezőt Client FQDN-nek nevez, küldhet FQDN-t, e-mail alakú karakterláncot vagy csupasz címet. Kezeld a szöveget és a típust két külön döntésként, és rögzítsd mindkettőt.
A szó szerinti identitásban semmi sem igényel DNS-t. Ez egy állítás, amelyet a másik fél ellenőriz, nem egy név, amelyet a hálózatnak fel kell oldania.
Három külön érték, külön leírva
Három feladat áll egy konfigurációs képernyő mögött, és ezek összevonása a drága hiba. Az egyik érték a végpont címe, amely eldönti, hová mennek a csomagok. A másik a helyi identitás, amelyet ez a peer bemutat, a harmadik pedig az az identitás, amelyet a távoli féltől elvársz, mielőtt hitelesíted. Írd le őket három sorként a változásjegyben, mert ennél kevesebb VPN-t ír le, nem kapcsolatot.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
A példaidentitásokat a bevezetés részeként kell kiválasztani és engedélyezni. Ezek olyan állítások, amelyeket a hitelesítés ellenőriz, nem olyan hitelesítő adatok, amelyek bármely peert megbízhatóvá tennének, ezért egy hihetőnek tűnő karakterlánc semmit sem engedélyez.
A típus az érték része
strongSwan identitásreferencia elválasztja az FQDN-t, az e-mail alakú értékeket, az IP-címeket és más kódolásokat, ezért a kódolás ugyanannyit számít, mint a karakterek. Két eszköz elfogadhatja ugyanazt a szöveget különböző típusok alatt, és mégis elutasíthatja egymást. Egy jegyzet, amely a típustól függetlenül rögzíti az értéket, fél konfiguráció.
Kérdezd meg a gyártót, milyen típust küld valójában az eszköz, és igazold vissza dekódolással, ne a felület címkéjével. A kitalált típus olyan eltérés, amely a következő változásra vár.
Mindkét félnek ki kell elégítenie a másikat
Mindkét fél helyi identitásának át kell mennie a másik fél hitelesítési szabályzatán. Ez nem ugyanaz, mint egyetlen karakterláncot beilleszteni minden identitásmezőbe mindkét eszközön, ami az a rövidítés, amely olyan konfigurációt eredményez, amelyet senki sem tud hibakeresni.
A tanúsítványos hitelesítés saját követelményeket ad hozzá, mert a tanúsítvány identitása és a bizalmi feltételek a beírt IKE-identitás mellett állnak. Az IKE-identitás egyezése önmagában nem engedélyez tanúsítványos peert.
Hol számít a DNS, és mit kényszerít ki a verziód
Az átjáró hosztneve, amelyet felderítésre használnak, valóban működő DNS-t igényel, és ez a követelmény a végpont megtalálásához tartozik, nem egy beírt identitás bármilyen fordított lekérdezéséhez. Tartsd a kettőt külön a jegyben, mert a felderítési hiba és az identitás-eltérés hasonlóan olvasható egy kliensnaplóban, és különböző helyen javítják őket.
Olvasd el annak a terméknek és verziónak az elemzőjét, amelyet ténylegesen futtatsz, mielőtt olyan szintaxist másolnál, amely típust kényszerít, mert a régebbi strongSwan-kiadások másként viselkedtek, és más gyártók saját megkötéseket adnak hozzá. Amikor a két véget összehasonlítod, tarts négy dolgot együtt: elvárt identitás, bemutatott identitás, típus és a hitelesítési hiba. Ez a halmaz bizonyítékká teszi az eltérést vélemény helyett.