iPhone IKEv2-ից RouterOS՝ ո՞ր նույնացուցիչն որտեղ է տեղադրվում
Չորս առանձին պնդումներ են որոշում iOS-ի IKEv2 թունելը՝ հավաքվող հասցեն, սպասվող սերվերի ինքնությունը, պահանջվող սպասարկողի ինքնությունը և վկայագրային նյութը։
MikroTik դարպասին հասնելը լուծում է IKEv2 տեղադրման միայն տրանսպորտային կեսը և ուրիշ ոչինչ։ Դրանից հետո չորս առանձին պնդումներ են որոշում՝ կձևավորվի թունելը, թե ոչ՝ հեռախոսի հավաքած հասցեն, սպասվող սերվերի ինքնությունը, իր համար պահանջվող ինքնությունը և այդ պնդումը հիմնավորող վկայագրային նյութը։ Ստուգեք դրանք այդ հերթականությամբ և կանգ առեք առաջինի վրա, որը չի համապատասխանում դարպասի ներկայացրածին։ Յուրաքանչյուրը խմբագրվում է տարբեր տեղում, դրա համար էլ սխալ խմբագրումը սովորաբար տեղափոխում է խափանումը՝ փոխարենը վերացնելու այն։
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Ստուգեք պրոֆիլի դաշտերը այն հերթականությամբ, որով փոխանակումը դրանք օգտագործում է
Հեռավոր հասցեն առաջին IKE փաթեթի նպատակակետն է և ոչ ավելին։ Հեռավոր նույնացուցիչը այն է, ինչ հեռախոսը սպասում է, որ դարպասը կապացուցի իրենով լինելը, և դա անուն է, ոչ երթուղի։ Երկուսն էլ նույն հոսթանունով լրացնելը աշխատում է, երբ դարպասի վկայագրում այդ անունը կա, և ձախողվում է այնպես, որ թվում է երթուղավորման խնդիր, երբ այն չկա։ Կարդացեք պրոֆիլը որպես պնդումների հաջորդականություն, ոչ որպես լրացվող դաշտերի ցանկ։
Տեղական նույնացուցիչը հեռախոսի սեփական պնդումն է, և այն պետք է լինի անուն, որը RouterOS-ի ինքնության գրառումն ընդունում է հեռախոսի ներկայացրած սպասարկողի վկայագրի համար։ Եթե երկուսը չեն համապատասխանում, դարպասը մերժում է կապը վկայագրի ինքնին վավերացումից հետո, և մատյանը թվում է լիազորման, ոչ անվանակարգման խնդիր։
Ստուգեք նույնացուցիչները դարպասի ներկայացրածի դեմ
Վկայագրային նույնականացման համար կարգավորված RouterOS զուգընկերոջ գրառումը ներկայացնում է իր վկայագիրը, և նրա ինքնությունը վերցվում է այդ վկայագրից, եթե այլ կերպ չեք կարգավորել։ Եթե հեռախոսի հեռավոր նույնացուցիչը նշում է դարպասի DNS անունը, դարպասի վկայագրին անհրաժեշտ է այդ անունը հեռախոսի ընդունելի տեղում, սովորաբար սուբյեկտի այլընտրանքային անվան մեջ։ Այլ ընդհանուր անվան համար տրված վկայագիրը չի վավերացվի, նույնիսկ եթե բանալին և շղթան անթերի են։
Կառավարվող Apple պրոֆիլները կարող են կրել նաև վկայագրի անվան սահմանափակում, որը գնահատվում է նույնացուցիչի դաշտերից բացի։ Ստուգեք բովանդակությունը՝ փոխարենը կարգավորումների էկրանից վավերացման անունը եզրակացնելու, որովհետև դրանք նույն կարգավորումը չեն։
Ստուգեք, որ սպասարկողի վկայագիրը բանալի է, ոչ միայն վստահության խարիսխ
CA վկայագրի ներմուծումը հեռախոսին տալիս է ինչ-որ բան, որով վավերացնի դարպասը։ Այն հեռախոսին չի տալիս սպասարկողի ինքնություն, և վկայագրային նույնականացումը պահանջում է սպասարկողի տերևային վկայագիրը և դրա գաղտնի բանալին՝ միասին հանձնված հաստատված գրանցման ուղով։ Առանց գաղտնի բանալու կառուցված PKCS#12-ը տալիս է պրոֆիլ, որը մաքուր տեղադրվում է և ոչինչ չի նույնականացնում։
Սպասարկողի տերևին անհրաժեշտ է նաև ինքնություն, որը սպասում է RouterOS կողմը, այսինքն՝ սուբյեկտը կամ սուբյեկտի այլընտրանքային անունը պետք է համապատասխանի համապատասխան ինքնության կարգավորմանը։ Մեկ CA-ից սպասարկողի և սերվերի վկայագրեր թողարկելը շղթան հարմար է դարձնում և չի դարձնում երկու տերևները փոխանակելի։
Ստուգեք, որ RouterOS քաղաքականությունը ընդունում է այդ անունը
Դարպասում զուգընկերոջ գրառումը սահմանում է փոխանակման ռեժիմը և նույնականացման եղանակը, իսկ ինքնության գրառումը կապում է ընդունված հեռավոր ինքնությունը վկայագրին և դրան հաջորդող քաղաքականությանը։ RouterOS v7-ում այդ զույգն արտահայտվում է IPsec զուգընկերոջ և ինքնության գրառումներով, օրինակ՝ IKEv2 զուգընկեր auth-method=digital-signature-ով։ Ստուգեք ձեր տեղադրված թողարկման փաստացի ընտրացանկը, ոչ թե ավելի հին տարբերակի համար գրված ուղեցույց։
Այստեղ է նաև անհամապատասխանությունը շտկելն ամենաէժանը, որովհետև դարպասը կարող է ձեզ ասել ինչպես ստացված, այնպես էլ ցանկալի ինքնությունը։ Ընդունված ինքնության ընդլայնումը՝ սխալը լռեցնելու համար, հեռացնում է այն կապը, որը իմաստ էր տալիս տեղադրմանը։
Ստուգեք, թե որ փուլն է ձախողվել, նախքան ինչ-որ բան խմբագրելը
Կարդացեք փորձը երկու ծայրերում և դասակարգեք այն նախքան առաջարկը փոխելը։ Առաջարկի անհամապատասխանությունը, բացակայող ստորագրության բանալին, անվստահելի թողարկողը, սխալ զուգընկերոջ նույնացուցիչը և մերժված սպասարկողի լիազորումը հեռախոսից բոլորը նման են մեռած թունելի, և յուրաքանչյուրն ունի տարբեր պատասխանատու։ Բոլոր հինգ կարգավորումները միանգամից փոխելը երաշխավորում է, որ արդյունքից ոչինչ չեք սովորի։
Գրանցեք ներկայացված ինքնությունը, սպասվող ինքնությունը, վկայագրի թողարկողն ու սերիական համարը և համապատասխան քաղաքականության անունը՝ գաղտնի բանալիներն ու պրոֆիլի գաղտնիքները պահելով այդ գրառումից դուրս։ Երբ նույնականացումը հաջողվի, փորձարկեք մասնավոր ծառայությունը և դրա պատասխանը, որովհետև հասցեների բաշխումը, ընտրիչները, DNS-ը և մուտքի քաղաքականությունը դեռ պետք է աշխատեն IKE փոխանակման ավարտից հետո։