SAN IKEv2-vottorðs: hvers vegna auðkenningarskoðunin mistekst

Vottorðið þitt hlekkjast að traustu CA, dagsetningarnar eru í lagi, og jafningurinn neitar samt að ljúka 1. fasa með auðkenningarvillu. Náanleiki og gilt undirskrift eru aðeins helmingur þess sem IKEv2-biðlari skoðar. Hinn helmingurinn er hvort auðkennið sem það væntir birtist í vottorðinu í réttu svæði, og þá væntingu stillir sniðið, ekki skráarnafn vottorðsins.

Einkennið er alltaf í sama formi

Tengingarsniði er breytt úr hýsilnafni í IP-tölu, eða endurnýjað úr vottorði sem bar DNS-nafn í það sem ber aðeins töluorð, oggöngin hætta að semja. Ekkert breyttist í netleiðinni. Biðlarinn nær jafningjanum, tekur við vottorði og hafnar auðkenni jafningsins vegna þess að auðkennið sem honum var sagt að vænta er ekki táknað í svæði sem hann samþykkir. Endurnýjanir eru venjulega kveikjan, því staðgengilsvottorðið kemur oft úr öðru sniðmáti en það sem það kemur í staðinn fyrir.

Báðir aðilar skrá svo eitthvað gagnslaust, og þess vegna er bilunin venjulega tilkynnt sem vottorðsvandamál. Biðlaraskráin getur nefnt auðkennið sem hann vildi, og það nafn er vísbendingin sem þú vilt, ekki gildisdagurinn.

Passið tegund auðkennisins, ekki bara gildið

dNSName SAN og iPAddress SAN eru mismunandi svæði með mismunandi samsvörunarreglum, svo vottorð sem ber 203.0.113.10 sem DNS-streng fullnægir ekki biðlara sem væntir IP-auðkennis. Nútíma sannprófendur hunsa að mestu algenga nafnið, svo vingjarnlega merkið í vottorðsupplýsingunum sannar ekkert um hvað muni passa. Ef hýsilnafni var skipt út fyrir tölu við bilanaleit, gerið ráð fyrir að vænta auðkennið hafi færst með því þar til þið hafið skoðað. Berið saman strenginn í sniðinu við strenginn í SAN staf fyrir staf, því punktur í lokin eða auka bil er nóg.

Stjörnumerki eru aðeins þægindi fyrir DNS og fylgja sínum eigin samsvörunarreglum, sem er önnur ástæða fyrir því að IP-byggt snið ætti aldrei að treysta á þau.

Finndu hvar hver biðlari geymir væntinguna

Í strongSwan kemur gildið sem borið er saman við vottorðið frá stillingu jafningsauðkennis: rightid í klassísku uppsetningunni, eða id svæðinu í fjartengingarhluta swanctl. Skjöl þess um Apple IKEv2-samvirkni eru gagnleg hér því þau útskýra þær auðkennisvenjur sem sniðstýrður biðlari notar, og þær venjur útskýra flokk ósamræmis sem lítur út fyrir að vera tilviljunarkenndur á línunni.

Apple-stillingarsnið bera svæði fyrir fjartengt auðkenni, og gildið þar er það sem biðlarinn skoðar frekar en netfangið í tengistillingunum. Windows- og tækjabiðlarar hafa hver sitt svæði með sínu sjálfgefna gildi, og sjálfgefna gildið fylgir oft tölu sem þú slóst inn. Þar sem tvö svæði stangast á vinnur það sem biðlarinn les í raun, og það er sjaldan það sem þú breyttir.

Gerðu við sniðið eða vottorðið, viljandi

Skoðið vottorð jafningsins með samþykktum verkfærum og skráið SAN-færslur með tegundum þeirra áður en nokkuð er breytt. Sú skoðun þarf engan einkalykil og enga upphleðslu, og hún leysir spurninguna á sekúndum. Ef uppsetningin ætlar eitt DNS-auðkenni verður vottorðið að bera það sem dNSName-færslu, og ef uppsetningin ætlar tölu þarf vottorðið iPAddress-færslu fyrir nákvæmlega þá tölu.

Þegar vottorðið er rangt skaltu biðja rekstraraðilann um leiðrétt vottorð með tilteknu væntu auðkenni. Þegar sniðið er rangt skaltu laga sniðið og láta vottorðið í friði. Að slökkva á auðkennissannprófun lætur villuna hverfa og fjarlægir skoðunina á því að göngin tali við jafningjann sem þú ætlaðir.

Skráið vænt auðkenni fyrir hvern biðlaravettvang, því gildi sem einn biðlari leiðir sjálfkrafa getur þurft að vera skýrt á öðrum.

Gefðu endurnýjunarbeiðninni fjórar staðreyndir

Skráið vænta auðkennið og tegund þess, þær SAN-færslur sem núverandi vottorð hefur í raun, biðlarann og útgáfuna sem framkvæmir skoðunina, og nákvæman villutexta. Endurnýjunarbeiðni byggð á þessum fjórum línum fær rétta vottorðið í fyrsta skipti, í stað annars með sama kunnuglega skráarnafni.