Uppsetning IKEv2-vottorðs á iPhone: handvirk eða stýrð skráning

Að velja RSA vegna þess að vottorðatól gáttarinnar notar það sjálfgefið er ákvörðun sem tekin er áður en spurningin sem skiptir máli: hvernig verða þessir iPhone skráðir? Tenging sem notandinn slær inn sjálfur og stillingarsnið sem stjórnunin lætur í té bjóða upp á mismunandi stillingar, og sumir vottorðsvalkostir eru aðeins til á öðrum hvorum þessara leiða. Stilltu röðina rétt og vottorðaáætlunin verður stutt; gerðu mistök og þú gefur út skilríki sem síminn mun ekki nota. Líttu á skrefin hér að neðan sem röð, því hvert þeirra þrengir valkostina sem næsta skref hefur.

Fyrsta skref: veldu skráningarleiðina

Handvirk uppsetning þýðir að notandinn slær inn vistfang þjónsins, velur auðkenningaraðferð og leggur fram hvaða skilríki sem viðmótið leyfir. Stýrð skráning þýðir að snið ber vistfangið, auðkennin og tilvísun í skilríkjahleðslu. Stýrða leiðin getur tjáð samsetningar sem handvirka skjárinn getur ekki, og þess vegna verður vottorðaákvörðunin að koma eftir þetta val en ekki fyrir það.

Báðar leiðir geta auðkennt síma. Þær eru ólíkar að því hvað er hægt að stilla og hver á auðkennið, svo veldu aðra af ásetningi í stað þess að blanda stýrðu sniði saman við handvirka innslátt skilríkja.

Annað skref: veldu reiknirit fyrir leiðina sem þú valdir

Fyrir handvirkt stillta iPhone mæla iOS-samvirkniskýringar strongSwan með RSA-þjónsvottorði, því handvirkur biðlari kann að samþykkja ekki ECDSA-þjónsvottorð; sömu skýringar fjalla um macOS sérstaklega. Lestu þetta sem leiðbeiningu fyrir studda biðlarasafnið, ekki sem varanleg lög um Apple-tæki. Stýrt snið hefur meira svigrúm: það getur valið vottorðstegund beint, þar á meðal ECDSA-biðlaraauðkenni, þegar hleðslan og gáttin styðja það báðar.

Staðfestu þær iOS-útgáfur sem þú styður í raun áður en þú setur eitthvað í notkun. Rannsóknarstofusími á nýjustu útgáfunni lýsir ekki flota sem inniheldur eldri tæki, og reiknirit sem virkar á rannsóknarstofunni getur samt mistekist í elsta símanum á vettvangi. Taktu útgáfusviðið úr tækjastjórnun en ekki úr minninu. Ef flotinn nær yfir nokkrar útgáfur skaltu prófa þá elstu fyrst, því þar er handvirka viðmótið takmarkandi hvað mest.

Þriðja skref: lestu reiti sniðsins sem aðskilda hluti

Nokkrir lyklar með svipuðu nafni lýsa ólíkum hlutum. Fjartengt vistfang er sá þjónn sem síminn hringir í. Fjartengt auðkenni er IKE-auðkennið sem síminn væntir að gáttin sýni. Vottorðstilvísun hleðslunnar bendir á skilríki biðlarans, og reiturinn fyrir vottorðstegund velur tegundina sem notuð er fyrir IKEv2-vélauðkenningu. Ekkert þessara er undirritununerreiknirit CA, þótt orðin skarist.

Apple-tilvísun fyrir IKEv2-hleðslu telur RSA upp sem sjálfgefna vottorðstegund með skýrum ECDSA-afbrigðum, og hún tengir lykil útgáfunarheitis við tilteknar auðkenningarstillingar. Lestu þessi samhengi í tilvísuninni fyrir aðferðina sem þú valdir í stað þess að afrita einn lykil úr virkri uppsetningu.

Fjórða skref: samræmdu auðkenni gáttarinnar við vottorð hennar

Notaðu skýrt gáttarheiti, til dæmis vpn.example.com og settu samsvarandi viðbótarheiti viðfangs í þjónsvottorðið. Apple-leiðbeiningar strongSwan vænta einnig útvíkkaðrar lyklanotkunar fyrir þjónauðkenningu. Val á RSA eða ECDSA breytir engu þar um: reiknirit getur ekki lagað nafnamisræmi, vantað EKU eða ófullkomna keðju.

Dreifing traustsankers er aðskilið verkefni frá því að fullyrða auðkennið. Síminn þarf vottorðakeðju sem hann getur staðfest, og hann verður að vera stilltur til að vænta þess nafns sem þú settir í raun í vottorðið.

Að önnur kerfi tengist með góðum árangri er sönnun um staðfestingarreglur þess kerfis, ekki leyfi til að slaka á reglum símans. Haltu prófununum óbreyttum milli biðlara nema þú hafir skjalfesta ástæðu til að víkja frá.

Fimmta skref: aðskildu auðkenni biðlarans frá trausti á CA

Biðlaravottorð og einkalykill þess eru ekki sami hlutur og CA-vottorðið sem síminn treystir. Að pakka CA-vottorði inn í PKCS#12-auðkenni setur það ekki sjálfkrafa upp sem traustsanker á hverju studdu tæki, svo meðhöndlaðu dreifingu trausts sem sjálfstætt skref með eigin staðfestingu.

Ef hönnunin notar lykilorðsbundið EAP í staðinn þarf síminn fyrirhugaða reikningsauðkenningu auk þjónsstaðfestingar. Sú leið réttlætir ekki sendingu eins sameiginlegs einkalykils biðlarans til alls flotans, sem er önnur hönnun með mun verri bilunarmáta.

Kláraðu áætlunina með endurnýjun og afturköllun í huga: hver endurútgefur skilríki biðlarans, hvernig sniðið er uppfært og hvernig týndur sími er aftengdur. Skráðu útgáfu sniðsins og þær tækjatútgáfur sem þú staðfestir gagnvart, því sú skráning gerir næstu vottorðaskipti að venjubundinni breytingu.