strongSwan EAP: IKE-auðkenni gegn væntanlegu AAA-nafni

EAP-auðkenning yfir IKEv2 getur krafist þess að klient staðfesti tvö mismunandi netþjónanöfn í einni tengingu. Gáttin sem lýkur IKE sýnir eitt auðkenni, og EAP-bakendi sem lýkur innri TLS-skiptum getur sýnt annað. Í strongSwan búa þau í mismunandi stillingablokkum, og nafn í rangri blokk veldur bilun sem lítur út eins og vandamál með skírteini. Það að lesa hvaða staðfesting mistókst er það sem segir þér hvaða blokk á að breyta.

Ein tenging, tvö auðkenni netþjóns

Fyrsta auðkennið tilheyrir IKE-skiptunum. Klientinn hringir í vistfang og væntir þess að mótaðilinn sanni tiltekið auðkenni, yfirleitt nafnið í skírteini gáttarinnar.

Annað tilheyrir EAP. Með PEAP eða TTLS byggir klientinn TLS-göng að auðkenningarþjóninum inni í IKE SA, og sá innri þjónn sýnir eigið skírteini. Þegar bakendinn er sérstakur hýsill er nafn hans annað en gáttarinnar. Klient sem athugar aðeins fyrra nafnið samþykkir hvað sem hið síðara fullyrðir. Og klient sem er stilltur með eitt nafn á báðum stöðum bregst um leið og þau tvö eru í raun ólík.

Bæði nöfnin koma frá stillingum rekstraraðilans, ekki frá skírteininu sem lætur villuna hverfa. Að spyrja rekstraraðilann um uppsetningarupplýsingarnar er fljótlegra en að giska á tvö hýsilnöfn.

Hvaða svæði tilheyrir hvaða lagi

Í swanctl eru vistfangið og IKE-auðkennið aðskildar stillingar, og EAP-auðkennið er þriðja.

Fjarvistfangið velur hvert pakkarnir fara, og fjarlæga auðkennið segir hvað mótaðilinn verður að sanna. EAP-væntingin er skrifuð undir local-blokkinni, því hún lýsir EAP-skiptum þessa klients en ekki IKE-hegðun mótaðilans. Einmitt þessi staðsetning er lesin rangt. Nafnið stendur í stillingum klientsins þótt það lýsi netþjóni, og þess vegna virðist það á röngum stað.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Sá hluti er ekki heil tenging; traustefni, skilríki og stefnur undirtenginga verða enn að vera til staðar. Að afrita hann orðrétt í virka skrá myndi skipta út stillingum sem þú þarft enn.

Hvers vegna aaa_id býr undir local

local-blokkin lýsir því hvað þessi endi gerir við auðkenningu, þar á meðal aðferðinni sem hann notar og auðkenninu sem hann væntir frá hinum endanum fyrir þá aðferð. Ekkert í henni fullyrðir að AAA-netþjónninn keyri á sömu vél.

Sjálfgefið gildi gerir gildruna skarpari. Þegar ekkert skýrt gildi er sett fylgir væntanlegt AAA-auðkenni fjarlæga auðkenninu, svo uppsetning með einu nafni virkar og felur muninn. Skýrt gildi skiptir aðeins máli þegar EAP-uppsetningin endar í raun annars staðar. Að setja það á annað nafn án þeirrar ástæðu býr til bilun sem rekstraraðilinn getur ekki endurtekið. Lestu uppsetninguna áður en þú býrð til annað nafn.

Haltu gildinu eins og skírteini bakendans fullyrðir í raun, þar á meðal lögun nafnsins. Punktur á endanum eða algildistákn sem nær ekki yfir hýsilinn nægir til að athugunin mistakist.

Viðmót sem geta ekki lýst skiptingunni

NetworkManager-snið er ekki sama stillingarviðmót og swanctl. Viðbótin bak við það býður þrengra safn auðkennistyringa, og hver þeirra er til fer eftir uppsettu útgáfunni.

Það skiptir máli þegar uppsetningin þarf í raun tvö nöfn. Svæði merkt auðkenni netþjóns getur stillt eitt lagið en ekki hitt, svo snið getur virst rétt og samt mistekist í innri athuguninni. Athugaðu hvað uppsetta viðbótin styður áður en þú gerir ráð fyrir að sniðið geti lýst þessu fyrirkomulagi. Ef hún getur það ekki er valið hjá rekstraraðilanum: önnur uppsetningarleið eða leiðrétt hönnun auðkennis netþjónsins. Að veikja PEAP eða samþykkja hvaða nafn sem er breytir auðkenningarstefnunni í stað þess að laga hana.

Valkosturinn er ekki eitthvað sem á að finna upp á klientnum. Biddu um studda fyrirkomulagið skriflega og geymdu svo það svar með sniðinu.

Greindu auðkennismisræmi frá útrunnu skírteini

Nafnamisræmi og útrunnið skírteini eru mismunandi bilanir, og annállinn greinir þau. Lestu skilaboðin áður en þú ákveður hvaða svæði á að breyta.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Að setja fyrirhugað AAA-auðkenni endurnýjar ekki skírteini né byggir traust á útgefanda þess, og endurnýjun skírteinis lagar ekki rangt væntanlegt nafn. Lestu hvaða staðfesting mistókst áður en þú breytir öðru auðkennissvæði. Hladdu svo stillingunni aftur og staðfestu að hlaðna tengingin sýni gildið sem þú settir, því breytt skrá sem var aldrei hlaðin breytir engu. Skrifaðu bæði nöfnin og lögin þeirra í uppsetningarglósurnar.