IKEv2 vistfang netþjóns vs auðkenni: það sem viðskiptavinurinn athugar í raun

Gátt sem breytir heimilisfangi getur haldið áfram að virka á meðan sama gátt á bak við nýtt skírteini hættir, og hið gagnstæða gerist líka. Heimilisfangið segir viðskiptavininum hvert á að senda pakka; sannvottaða auðkennið segir viðskiptavininum hvort jafningjasvarinn sé sá sem hann ætti að treysta. IKEv2 heldur þeim sem tveimur aðskildum reitum, sem er gagnlegt þegar þú hættir að meðhöndla þá sem einn streng. Þeir eru líka stilltir á mismunandi stöðum, þannig að einn getur verið réttur á meðan hinn er rangur.

Athugaðu þær í þessari röð og hættu við fyrsta misræmi, vegna þess að síðari athuganir gera ráð fyrir að þær fyrri hafi staðist.

Í fyrsta lagi hvaða gildi er heimilisfangið

Tengingarvistfangið er það sem viðskiptavinurinn hringir í: IP, DNS nafn sem skilar sér í eitt eða álagsjafnað framenda. Það eru samgönguupplýsingar og ekkert annað. Auðkennið ríður í IKEv2 auðkennisfarminu og er síðan jafnað við skírteini jafningja. DNS nafn í vistfangaboxinu verður ekki auðkennið sem búist er við og hrá IP-tala verður ekki auðkennið bara vegna þess að innstungan tengdist því.

Í skilmálum strongSwan er heimilisfangið right eða left, og væntanleg auðkenni er rightid eða leftid, og það er það sem IKEv2 stillingarskjölin lýsir. Ef þú hefur aðeins breytt heimilisfanginu hefurðu stillt helminginn af parinu.

Í öðru lagi, hvað vottorðið getur sannað

Auðkennið hefur tegund og vottorðið þarf að bera samsvarandi nafn. A DNS auðkenni er fullnægt með dNSName færslu í efnisframlengingunni; IP auðkenni þarf iPAddress færslu. Vottorð gefið út fyrir vpn.example.com sannar ekkert um bókstaflega heimilisfangið 203.0.113.10 og eitt sem gefið er út fyrir það heimilisfang sannar ekkert um nafnið. Endurútgáfa fyrir annað nafn kemur því ekki í staðinn, jafnvel þó að sami lykill og CA séu endurnotaðir.

Nútíma viðskiptavinir hunsa almenna nafnið þegar annað efnisnafn er til og margir hunsa það algjörlega. Ef SAN listinn inniheldur ekki gildið sem viðskiptavinurinn athugar, mistekst handtakið eftir að vottorðið hefur þegar verið samþykkt sem áreiðanlegt, sem er ástæðan fyrir því að loginn les eins og auðkennisvilla frekar en traustvilla.

Í þriðja lagi, hvernig hver viðskiptavinur segir væntingar

Windows tekur netþjónsnafnið eða heimilisfangið sem þú slóst inn og krefst þess að vottorðið passi við það, svo að slá inn IP skapar IP væntingar. Android biðlari IKEv2 hagar sér á sama hátt og báðir hafna gildu, opinberu traustu vottorði sem nefnir annan hýsil. Snið getur byrjað að mistakast eingöngu vegna þess að einhver skipti út hýsingarnafninu fyrir heimilisfang þess meðan á flutningi stóð. Skoðaðu hvað viðskiptavinurinn bað um áður en þú skoðar hvað vottorðið inniheldur.

Á strongSwan er væntingin skýr: stilltu rightid á auðkennið sem þjónninn sýnir í raun, sem getur verið frábrugðið hægri. Með því að stilla það á %any er tekið við því sem jafninginn býður og fjarlægir nákvæmlega ávísunina sem þú ert að reyna að halda.

Í fjórða lagi, aðskilið notandainnskráningu frá jafningjaauðkenni

EAP auðkenning og auðkenni netþjónsins svara mismunandi spurningum. EAP auðkenni eins og [email protected] segir hver notandinn er, eftir að viðskiptavinurinn hefur ákveðið að þjónninn sé sá rétti. Að snúa því lykilorði getur ekki lagað ósamræmi jafningjakenndar, vegna þess að tengingin nær aldrei innskráningarstigi notanda.

Hreinsuð skýrsla ætti að nefna bæði: auðkennið sem viðskiptavinurinn bjóst við, auðkennið sem þjónninn sýndi og SAN færslur vottorðsins.

Í fimmta lagi, breyttu því í gegnum staðfesta rás

Þegar gáttin færist löglega, uppfærðu heimilisfangið fyrst og láttu auðkennið í friði, því það er málið IKEv2 höndlar vel. Þegar auðkennið sjálft breytist skaltu meðhöndla það sem traustatburð og fá nýja gildið frá uppruna sem þú treystir nú þegar, ekki frá endapunktinum sem er núna að bila. Skilaboð sem send eru í gegnum tenginguna sem þú ert að reyna að staðfesta eru ekki sönnun um þá tengingu.

Skráðu endanlegt heimilisfang, auðkenni og SAN listann saman í prófílskýringunum. Næsti aðili sem snertir skírteinið mun þá sjá hvor af þremur fær að hreyfa sig.