Tvær auðkenni í einni IKEv2-innskráningu: fyrst vélin, svo notandinn

Staðfesta biðlara er villuleguð, fyrsta skiptin lýkur og þá stöðvast tengingin með villu um aukna auðkenningarumferð. Ekkert er rangt í vottorðakeðjunni og ekkert hefur breyst í netinu. Hliðið er stillt til að krefjast annarrar sönnunar frá tengda hliðinni, og biðlarinn sendir aldrei neina. Að ákveða hver sannar hvað og í hvaða röð er allt verkefnið, og það byrjar á að lesa stefnuna frá endapunktinum sem þú stendur á. Tvær sannanir af ólíkum toga í föstum röð er hönnunarákvörðun en ekki gátreitur.

Einkennið: bilun eftir árangursríka fyrstu sönnun

Fyrsta skiptin lýkur og skráin lítur heilbrigð út, þar til hliðið biður um notandaauðkenni í gegnum EAP. Þá stöðvast handabandið eða skilar siðaregluvillu sem nefnir aukaumferðina. Fullgilt vottorð vélar er hafnað af ástæðu sem hefur ekkert með gildi þess að gera. Stefnan bað um aðra sönnun og svar biðlarans kom aldrei.

Báðar lýsingar á þeirri bilun eru nákvæmar eftir því hvar þú stendur. Frá hlið biðlarans lítur þetta út eins og netþjónn sem hafnar gildu vottorði, og frá hlið netþjónsins eins og biðlari sem getur ekki klárað innskráninguna. Sami atburður er lesinn sem traustvandamál í einni skrá og getuvandamál í annarri. Aðeins stillta stefnan segir þér hvort er.

Hvað viðbótin bætir við og hvað ekki

IKEv2 ber viðbót til að keyra fleiri en eitt auðkenningarskipti innan einnar lotu. RFC 4739 dregur upp, meðal annarra rása, biðlara sem sannar vottorðsauðkenni og auðkennir síðan mann í gegnum EAP. Skjalið er Experimental, sem þýðir að engin útfærsla skuldar þér þennan eiginleika. Ekki gera ráð fyrir neinu um stuðning fyrr en mótaðilinn semur um hann.

Báðir aðilar verða að styðja viðbótina og sammælast um hana meðan á skiptunum stendur. Hlið sem stillt er fyrir aðra umferð getur ekki neytt biðlara til að gera eina, og biðlari sem styður hana notar hana ekki nema netþjónninn biðji um það. Þessi ósamhverfa er ástæðan fyrir því að bilunin kemur venjulega fram sem tímamörk eða siðaregluvilla í stað skýrrar yfirlýsingar um getu. Að lesa stillingar annarrar hliðar segir þér helminginn af því sem mun gerast.

Ein sönnun á hvern endapunkt er venjulega formið, og þetta er ekki sú hönnun. Hliðið kynnir vottorð sitt, notandinn svarar í gegnum EAP, og hvor hlið hefur auðkennt hina nákvæmlega einu sinni. Þessar tvær sannanir koma frá gagnstæðum endapunktum, svo hvorug segir neitt sérstakt um vélina og manneskjuna sem notar hana.

EAP-TLS er þriðja formið, og það er líka ekki þetta. Þar er biðlaravottorð kynnt innan EAP-aðferðar, svo biðlarinn klárar samt eina IKE-auðkenningu. Skírteinin geta litið eins út og í margra-umferða tilvikinu þótt siðareglan beri eina umferð í stað tveggja. Þess vegna bregst hönnun sem er afrituð frá EAP-TLS-uppsetningu nákvæmlega þar sem annarrar sönnunar er vænst.

Sama skráin er lesin öðruvísi á hliðinu

Sama swanctl-skráin er lesin öðruvísi eftir því hvar hún keyrir, og það er sá hluti sem lætur fólk hrasa. Á fartölvunni er hliðið mótaðilinn, og á hliðinu er fartölvan mótaðilinn, svo skrifaðu local-hliðina sem hver ég er og remote-hliðina sem hvern ég muni taka við. local-blokk lýsir því hvernig þessi endapunktur auðkennir sig, og remote-blokk segir hvað hann krefst af hinum endanum. Að afrita blokk milli skránna snýr merkingu hennar við án þess að breyta einu stafkenni. Að bera skrárnar tvær saman segir þér næstum ekkert, því sömu orð merkja andstæða hluti í hvorri þeirra.

Staða kafla ákvarðar röð hans nema umferðarnúmer gangi framar. Þess vegna lýsa viðbótar local- eða remote-kaflar viðbótarumferðum en ekki valkostum, og skýrta umferðarnúmerið í swanctl.conf-tilvísun er einmitt til að gera þá röð viljandi. Án þess breytir það hegðun að færa blokk. Þess vegna geta tvær stillingar sem líta jafngildar út á pappír hegðað sér í andstæðri röð.

Þessi röðunarregla framkallar bilunarháttinn sem er þess virði að muna. Önnur remote-blokk er ekki annar ásættanlegur valkostur; hún er önnur krafa, og þess vegna hegðar stefna sem lesin er sem annaðhvort/eða sér eins og og-síðan. Stefna hliðsins getur samþykkt vottorð skráðu vélarinnar og krafist þá EAP-skipta þess notanda, í þeirri röð.

Greindu umferðir frá sjálfstæðum þáttum

Tvær umferðir eru ekki sjálfkrafa tveir sjálfstæðir þættir. Að endurtaka sönnun, eða geyma tvö skírteini í sama geymslu, veitir ekki þann styrk sem hönnunin átti að bæta við. Sjálfstæði er eiginleiki þess hvernig leyndarmálin eru geymd og hvað setur þau í hættu, ekki hversu mörg skipti siðareglan keyrir. Hönnun sem telur umferðir sem þætti ofmetur það sem hún hefur. Þessi greinarmunur skiptir mestu þegar samræmispurning spyr hversu marga þætti innskráningin notar í raun.

Vélarvottorð sannar eign á samþykktum lykli sínum og ekkert meira. Það er ekki vélbúnaðarstaðfesting og ekki heilsuskýrsla tækis, svo stefna sem þarf stöðuupplýsingar þarf aðra aðferð. subject-reiturinn er heldur ekki áreiðanlegt birgðamerki, því subject er valið af þeim sem gaf út eða skráði vottorðið. Ef hönnunin þarf sönnun fyrir því að vélin sé heilbrigð verður sú sönnun að koma frá íhlut sem mælir vélina.

Skrifaðu niður hvað hver umferð sannar í raun áður en þú bætir henni við. Þegar tvær umferðir sanna sama hlutinn tvisvar bætir sú seinni við töf og stuðningsmiðum í stað vissu. Þessi athugasemd er líka það sem stöðvar rifrildi um hvort aukaumferðin sé kostnaðarins virði.

Skrifaðu pörunarregluna og prófaðu höfnunina

Ákveddu hvaða vélarauðkenni mega parast við hvaða fólk, og skrifaðu regluna þar sem framfylgdin býr. Tvö gilt skírteini hlið við hlið sanna ekkert um pörunina, því pörunin er heimildarákvörðun en ekki niðurstaða auðkenningar. Skráningarskrárnar eða auðkenningarbakendinn verður að framfylgja því sambandi sem stofnunin vill.

Prófaðu svo það sem á að mistakast: samþykktur notandi á ósamþykktri vél, ósamþykktur notandi sem hefur skírteini vélarinnar, og mótaðili sem getur ekki gert aukaumferðina. Ef allir þrír fá þögnina sömu aðgang, lýsir stefnan áformi í stað þess að framfylgja því. Berðu saman tilkynnta stillingu og það sem daemoninn segir frá, því tenging sem passaði aldrei lítur nákvæmlega eins út og regla sem stóðst:

swanctl --list-conns
swanctl --list-sas

Athugaðu samningsbundnu umferðirnar og heimildina sem af þeim leiðir, ekki bara árangursríku innskráninguna. Og gríptu ekki í gömul IKEv1 XAuth-stillingar sem stikleið: samstilltu siðaregluna, hlutverkin, röðina og raunverulega hegðun biðlarans í stað þess að eyða nauðsynlegri umferð þar til tenging gengur. Að eyða umferðinni sem bregst er leiðin sem hönnun með tvær sannanir verður þögnina hönnun með eina sönnun sem enginn fór yfir. Hafðu eyðinguna í breytingaskránni.