Identitas IKE atau Alamat Endpoint: Jangan Tertukar
Identitas IKE bertipe FQDN adalah nilai autentikasi literal, bukan pencarian DNS terbalik. Pisahkan alamat endpoint, identitas lokal, dan peer yang diharapkan.
Baca kolom berlabel identitas FQDN sebagai string literal, bukan sebagai permintaan nama DNS terbalik dari alamat publik Anda. Di parser strongSwan itu persis begitu, sebuah string, dan membacanya tidak pernah menyelesaikannya menjadi endpoint. Fakta itu saja menghilangkan gangguan paling umum saat Anda memilih pengenal untuk sebuah peer. Pemeriksaan di bawah menjaga ketiga nilai yang terlibat tidak melebur menjadi satu.
Label bukan pencarian
Antarmuka vendor memakai kata seperti FQDN dan hostname secara longgar, dan label pada kotak tidak mengatakan apa pun tentang pengodean di baliknya. Perangkat yang menyebut sebuah kolom Client FQDN dapat mengirim FQDN, string berbentuk email, atau alamat telanjang. Perlakukan teks dan tipe sebagai dua keputusan terpisah, dan catat keduanya.
Tidak ada bagian dari identitas literal yang membutuhkan DNS. Itu klaim yang diperiksa pihak lain, bukan nama yang harus diselesaikan jaringan.
Tiga nilai terpisah, ditulis terpisah
Tiga pekerjaan berada di balik satu layar konfigurasi, dan menggabungkannya adalah kesalahan mahal. Satu nilai adalah alamat endpoint, yang menentukan ke mana paket pergi. Nilai lain adalah identitas lokal yang ditampilkan peer ini, dan yang ketiga adalah identitas yang Anda harapkan dari ujung jauh sebelum Anda mengautentikasinya. Tulis ketiganya sebagai tiga baris di tiket perubahan, karena apa pun yang kurang dari itu menggambarkan VPN, bukan hubungan.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Identitas contoh harus dipilih dan diotorisasi sebagai bagian dari penerapan. Itu klaim yang diverifikasi autentikasi, bukan kredensial yang membuat peer mana pun tepercaya, jadi string yang tampak masuk akal tidak mengotorisasi apa pun.
Tipe adalah bagian dari nilai
Referensi identitas strongSwan memisahkan FQDN, nilai berbentuk email, alamat IP, dan pengodean lain, sehingga pengodean sama pentingnya dengan karakter. Dua perangkat dapat menerima teks yang identik dengan tipe berbeda dan tetap saling menolak. Catatan yang mencatat nilai tanpa tipenya adalah setengah konfigurasi.
Tanyakan kepada vendor tipe apa yang sebenarnya dikirim perangkat, dan pastikan melalui dekode, bukan label antarmuka. Tipe yang ditebak adalah ketidakcocokan yang menunggu perubahan berikutnya.
Setiap sisi harus memenuhi sisi lain
Identitas lokal setiap sisi harus lulus kebijakan autentikasi sisi lain. Itu bukan hal yang sama dengan menempelkan satu string ke setiap kotak identitas di kedua perangkat, yang merupakan jalan pintas yang menghasilkan konfigurasi yang tidak dapat di-debug siapa pun.
Autentikasi sertifikat menambahkan persyaratannya sendiri, karena identitas sertifikat dan kondisi kepercayaan berada di samping identitas IKE yang Anda ketik. Kecocokan identitas IKE saja tidak mengotorisasi peer bersertifikat.
Di mana DNS penting, dan apa yang dipaksakan versi Anda
Hostname gateway yang dipakai untuk penemuan memang membutuhkan DNS yang berfungsi, dan persyaratan itu termasuk menemukan endpoint, bukan pencarian terbalik dari identitas yang diketik. Pisahkan keduanya di tiket, karena kegagalan penemuan dan ketidakcocokan identitas terbaca serupa di log klien dan diperbaiki di tempat berbeda.
Baca parser untuk produk dan versi yang benar-benar Anda jalankan sebelum menyalin sintaks yang memaksakan tipe, karena rilis strongSwan lama berperilaku berbeda dan vendor lain menambahkan batasannya sendiri. Saat membandingkan kedua ujung, pegang empat hal bersama: identitas yang diharapkan, identitas yang disajikan, tipe, dan kesalahan autentikasi. Himpunan itu mengubah ketidakcocokan menjadi bukti alih-alih pendapat.