IKE-auðkenni eða endapunktarvistfang: ekki rugla þeim saman
IKE-auðkenni af FQDN-gerð er bókstaflegt auðkenningargildi, ekki öfug DNS-uppfletting. Haltu endapunktarvistfanginu, staðbundnu auðkenninu og væntanlegum peer aðskildum.
Lestu reit merktan FQDN-auðkenni sem bókstaflegan streng, ekki sem beiðni um öfugt DNS-nafn opinbera vistfangsins þíns. Í þáttun strongSwan er það einmitt það, strengur, og lestur hans leysir hann aldrei í endapunkt. Sú staðreynd ein og sér fjarlægir algengustu truflunina þegar þú velur auðkenni fyrir peer. Athuganirnar hér að neðan koma í veg fyrir að þrjú gildin sem koma við sögu renni saman í eitt.
Merki er ekki uppfletting
Viðmót framleiðenda nota orð eins og FQDN og hostname lauslega, og merkið á kassa segir ekkert um kóðunina að baki. Tæki sem kallar reit Client FQDN getur sent FQDN, streng í tölvupóstsformi eða bera vistfang. Meðhöndlaðu textann og gerðina sem tvær aðskildar ákvarðanir og skráðu báðar.
Ekkert í bókstaflegu auðkenni krefst DNS. Það er fullyrðing sem hinn endinn athugar, ekki nafn sem netið þarf að leysa.
Þrjú aðskilin gildi, skrifuð aðskilið
Þrjú verk liggja að baki einum stillingarskjá, og að sameina þau er dýra mistökin. Eitt gildi er endapunktarvistfangið, sem ræður því hvert pakkarnir fara. Annað er staðbundið auðkennið sem þessi peer sýnir, og þriðja er auðkennið sem þú væntir frá fjarlæga endanum áður en þú auðkennir hann. Skrifaðu þau sem þrjár línur í breytingamiðann, því allt minna lýsir VPN frekar en sambandi.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Sýnishornsauðkennin verða að vera valin og heimiluð sem hluti af uppsetningunni. Þau eru fullyrðingar sem auðkenning staðfestir, ekki skilríki sem gera nokkurn peer traustan, svo sannfærandi strengur heimilar ekkert.
Gerðin er hluti gildisins
auðkenniviðmið strongSwan aðskilur FQDN, gildi í tölvupóstsformi, IP-vistföng og aðrar kóðanir, svo kóðunin skiptir jafn miklu og stafirnir. Tvö tæki geta samþykkt sama texta undir mismunandi gerðum og samt hafnað hvort öðru. Athugasemd sem skráir gildið án gerðarinnar er hálf stilling.
Spyrðu framleiðandann hvaða gerð tækið sendir í raun, og staðfestu það með afkóðun frekar en merki viðmótsins. Gert gert er misræmi sem bíður næstu breytingar.
Hver hlið þarf að fullnægja hinni
Staðbundið auðkenni hvorrar hliðar þarf að standast auðkenningarstefnu hinnar hliðarinnar. Það er ekki það sama og að líma einn streng í hvern auðkennireit á báðum tækjum, sem er flýtileiðin sem framleiðir stillingu sem enginn getur kembt.
Auðkenning með skírteini bætir við eigin kröfum, því auðkenni skírteinisins og traustsskilyrðin standa við hlið IKE-auðkennisins sem þú slóst inn. Eitt samræmi IKE-auðkennis heimilar ekki peer með skírteini.
Hvar DNS skiptir máli og hvað útgáfan þín þvingar
Hýsitölva hliðs sem notuð er við uppgötvun þarf vissulega virkt DNS, og sú krafa tilheyrir að finna endapunktinn frekar en nokkurri öfugri uppflettingu innslegins auðkennis. Haltu þeim tveimur aðskildum í miðanum, því uppgötvunarbilun og auðkennismisræmi lesast svipað í biðlaraannál og er lagað á mismunandi stöðum.
Lestu þáttunina fyrir vöruna og útgáfuna sem þú keyrir í raun áður en þú afritar setningafræði sem þvingar gerð, því eldri strongSwan-útgáfur hagaði sér öðruvísi og aðrir framleiðendur bæta við eigin takmörkunum. Þegar þú berð saman endana tvo skaltu halda fjórum hlutum saman: væntanlegt auðkenni, framsett auðkenni, gerð og auðkenningarvilluna. Þetta safn gerir misræmi að sönnunargagni í stað skoðunar.