iPhone IKEv2 að RouterOS: hvaða auðkenni fer hvert
Fjórar aðskildar kröfur ráða IKEv2-göngum á iOS: heimilisfangið sem hringt er í, vænt auðkenni netþjóns, kröfð biðlaraauðkenni og skírteinisefnið.
Að ná í MikroTik-gáttina leysir aðeins flutningshluta IKEv2-uppsetningar og ekkert annað. Síðan ráða fjórar aðskildar kröfur því hvort göngin myndist: heimilisfangið sem síminn hringir í, auðkenni netþjónsins sem hann væntir, auðkennið sem hann krefst fyrir sig og skírteinisefnið sem styður þá kröfu. Athugaðu þær í þessari röð og stöðvaðu við þá fyrstu sem passar ekki við það sem gáttin kynnir. Hver þeirra er breytt á öðrum stað, þess vegna færir röng breyting venjulega bilunina í stað þess að laga hana.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Athugaðu reiti sniðsins í þeirri röð sem skiptin nota þá
Fjarlæga heimilisfangið er áfangastaður fyrsta IKE-pakkans og ekkert meira. Fjarlæga auðkennið er það sem síminn væntir að gáttin sanni að hún sé, og það er nafn, ekki leið. Að fylla bæði með sama hýsinu virkar þegar skírteini gáttarinnar ber það nafn, og mistekst á þann hátt að það lítur út eins og leiðavandamál þegar það gerir það ekki. Lestu sniðið sem röð krafna, ekki sem lista af reitum sem á að fylla út.
Staðbundna auðkennið er eigin krafa símans, og það verður að vera nafn sem auðkennisfærsla RouterOS samþykkir fyrir biðlara-skírteinið sem síminn leggur fram. Ef þau tvö passa ekki saman hafnar gáttin tengingunni eftir að skírteinið sjálft hefur verið staðfest, og annálin lítur út eins og heimildarvandamál frekar en nafnavandamál.
Athugaðu auðkennin gegn því sem gáttin kynnir
RouterOS-jafningafærsla sem stillt er fyrir skírteinisauðkenningu leggur fram eigið skírteini, og auðkenni hennar er dregið úr því skírteini nema þú hafir stillt annað. Ef fjarlæga auðkenni símans nefnir DNS-nafn gáttarinnar þarf skírteini gáttarinnar það nafn á stað sem síminn samþykkir, venjulega sem annað nafn eiganda. Skírteini útgefið fyrir annað algengt nafn mun ekki staðfestast þótt lykillinn og keðjan séu gallalaus.
Stýrð Apple-snið geta líka borið skírteinisnafnstakmörkun sem metin er til viðbótar við auðkennireitina. Skoðaðu burðargögnin í stað þess að álykta staðfestingarnafnið út frá því sem stillingaskjárinn sýnir, því þetta eru ekki sömu stillingar.
Athugaðu að biðlara-skírteinið sé lykill, ekki bara traustsanker
Innflutningur CA-skírteinis gefur símanum eitthvað til að staðfesta gáttina með. Hann gefur símanum ekki biðlaraauðkenni, og skírteinisauðkenning krefst blaðskírteinis biðlarans og einkalykils þess afhentra saman um samþykkta skráningaleið. PKCS#12 sem byggt er án einkalykilsins gefur snið sem setur sig hreint upp og auðkennir ekkert.
Blað biðlarans þarf líka auðkenni sem RouterOS-hliðin væntir, sem þýðir að eigandi eða annað nafn eiganda verður að passa við samsvarandi auðkennisstillingu. Að gefa út biðlara- og netþjónsskírteini frá einu CA gerir keðjuna þægilega og gerir blöðin tvö ekki skiptanleg.
Athugaðu að stefna RouterOS samþykki það nafn
Á gáttinni stillir jafningafærslan skiptimáta og auðkenningaraðferð, og auðkennisfærslan tengir samþykkta fjarlæga auðkennið við skírteini og við stefnuna sem fylgir. Í RouterOS v7 er þetta par sett fram með IPsec jafninga- og auðkennisfærslum, til dæmis IKEv2-jafninga með auth-method=digital-signature. Athugaðu raunverulegt valmyndarefni á uppsettu útgáfunni þinni en ekki leiðarvísi skrifuðum fyrir eldri.
Hér er einnig ódýrast að laga misræmi, því gáttin getur sagt þér bæði auðkennið sem hún fékk og það sem hún vildi. Að víkka samþykkta auðkennið til að þagga niður villuna fjarlægir tenginguna sem gaf uppsetningunni merkingu.
Athugaðu hvaða stig mistókst áður en þú breytir einhverju
Lestu tilraunina á báðum endum og flokkaðu hana áður en þú breytir tillögu. Misræmi í tillögu, vantar undirskriftarlykil, ótraustur útgefandi, rangt jafningaauðkenni og hafnað biðlaraleyfi líta öll út eins og dauð göng frá símanum, og hvert hefur sinn eiganda. Að breyta öllum fimm stillingunum í einu tryggir að þú lærir ekkert af niðurstöðunni.
Skráðu auðkennið sem lagt var fram, vænt auðkenni, útgefanda og raðnúmer skírteinisins og nafn viðkomandi stefnu, og haltu einkalyklum og sniðsleyndarmálum utan þeirrar skráningar. Þegar auðkenning tekst, prófaðu einkalega þjónustu og svar hennar, því heimilisfangsúthlutun, valar, DNS og aðgangsstefna verða að virka áfram eftir að IKE-skiptunum lýkur.