IKEv2 სერვერის მისამართი ვინაობის წინააღმდეგ: რასაც კლიენტი რეალურად ამოწმებს

კარიბჭე, რომელიც ცვლის მისამართს, შეუძლია გააგრძელოს მუშაობა, სანამ იგივე კარიბჭე ახალი სერტიფიკატის უკან ჩერდება და პირიქითაც ხდება. მისამართი ეუბნება კლიენტს სად გაგზავნოს პაკეტები; ავთენტიფიცირებული პირადობა ეუბნება კლიენტს, უნდა ენდოს თუ არა თანატოლი პასუხისმგებელი მას. IKEv2 ინახავს მათ, როგორც ორ ცალკეულ ველს, რაც სასარგებლოა მას შემდეგ, რაც შეწყვეტთ მათ როგორც ერთ სტრიქონს. ისინი ასევე კონფიგურირებულია სხვადასხვა ადგილას, ასე რომ, ერთი შეიძლება იყოს სწორი, ხოლო მეორე არასწორი.

შეამოწმეთ ისინი ამ თანმიმდევრობით და შეჩერდით პირველ შეუსაბამობაზე, რადგან გვიანდელი შემოწმებები ვარაუდობენ, რომ ადრე ჩაბარებულია.

პირველი, რომელი მნიშვნელობა არის მისამართი

კავშირის მისამართი არის ის, რასაც კლიენტი აკრიფებს: IP, DNS სახელი, რომელიც გადადის ერთზე, ან დატვირთვის დაბალანსებული წინა ნაწილი. ეს არის ტრანსპორტის ინფორმაცია და მეტი არაფერი. იდენტიფიკაცია მიდის IKEv2 ID-ის ტვირთამწეობაში და შემდეგ შეესაბამება თანატოლის სერტიფიკატს. DNS სახელი მისამართების ველში არ გახდება მოსალოდნელი იდენტიფიკაცია, ხოლო ნედლი IP არ ხდება იდენტურობა მხოლოდ იმიტომ, რომ მასზე არის დაკავშირებული სოკეტი.

strongSwan თვალსაზრისით, მისამართი არის right ან left, და მოსალოდნელი იდენტობა არის rightid ან leftid, და ეს არის ის, რასაც IKEv2 კონფიგურაციის დოკუმენტაცია აღწერს. თუ თქვენ მხოლოდ ოდესმე დაარედაქტირეთ მისამართი, თქვენ დააკონფიგურირეთ წყვილის ნახევარი.

მეორე, რისი დამტკიცება შეიძლება მოწმობამ

პირადობას აქვს ტიპი და სერტიფიკატს უნდა ჰქონდეს შესაბამისი სახელი. DNS იდენტურობა დაკმაყოფილებულია სათაურის ალტერნატიული სახელის გაფართოებაში dNSName ჩანაწერით; IP იდენტობას სჭირდება iPAddress ჩანაწერი. vpn.example.com-ზე გაცემული სერტიფიკატი არაფერს ამტკიცებს პირდაპირი მისამართის შესახებ 203.0.113.10, ხოლო ერთი, რომელიც გაცემულია ამ მისამართისთვის, არაფერს ამტკიცებს სახელთან დაკავშირებით. ამიტომ, სხვა სახელის ხელახალი გამოცემა არ არის ჩანაცვლება, მაშინაც კი, როდესაც იგივე გასაღები და CA ხელახლა გამოიყენება.

თანამედროვე კლიენტები უგულებელყოფენ საერთო სახელს, როდესაც არსებობს სუბიექტის ალტერნატიული სახელი, და ბევრი უგულებელყოფს მას მთლიანად. თუ SAN სია არ შეიცავს მნიშვნელობას, რომელსაც კლიენტი ამოწმებს, ხელის ჩამორთმევა ვერ მოხერხდება მას შემდეგ, რაც სერთიფიკატი უკვე მიიღება სანდოდ, რის გამოც ჟურნალი იკითხება როგორც პირადობის შეცდომა, ვიდრე ნდობის შეცდომა.

მესამე, როგორ აცხადებს თითოეული კლიენტი მოლოდინს

Windows იღებს თქვენს მიერ აკრეფილ სერვერის სახელს ან მისამართს და მოითხოვს სერთიფიკატის შესაბამისობას, ამიტომ IP-ის აკრეფა ქმნის IP მოლოდინს. Android-ის IKEv2 კლიენტი ერთნაირად იქცევა და ორივე უარყოფს მოქმედ, საჯაროდ სანდო სერტიფიკატს, რომელიც ასახელებს სხვა ჰოსტს. პროფილმა შეიძლება მარცხი დაიწყოს მხოლოდ იმიტომ, რომ ვინმემ შეცვალა ჰოსტის სახელი მისი მისამართით მიგრაციის დროს. შეხედეთ რა მოითხოვა კლიენტმა, სანამ გადახედავთ რას შეიცავს სერტიფიკატი.

strongSwan-ზე მოლოდინი აშკარაა: დააყენეთ rightid იდენტურობაზე, რომელსაც რეალურად წარმოადგენს სერვერი, რომელიც შეიძლება განსხვავდებოდეს მარჯვნისაგან. %any-ზე დაყენება ეთანხმება იმას, რასაც თანატოლი გვთავაზობს და ამოიღებს ზუსტად იმ ჩეკს, რომლის შენარჩუნებასაც ცდილობთ.

მეოთხე, განაცალკევეთ მომხმარებლის შესვლა თანატოლების იდენტობისგან

EAP ავთენტიფიკაცია და სერვერის იდენტურობა პასუხობს სხვადასხვა კითხვებს. EAP იდენტურობა, როგორიცაა [email protected] ამბობს ვინ არის მომხმარებელი, მას შემდეგ რაც კლიენტი გადაწყვეტს, რომ სერვერი სწორია. ამ პაროლის როტაცია ვერ გამოასწორებს თანატოლთა იდენტობის შეუსაბამობას, რადგან კავშირი არასოდეს აღწევს მომხმარებლის შესვლის სტადიას.

გაწმენდილი ანგარიში უნდა ასახელებდეს ორივეს: ვინაობას, რომელსაც კლიენტი ელოდა, სერვერის მიერ წარმოდგენილი ვინაობა და სერტიფიკატის SAN ჩანაწერები.

მეხუთე, შეცვალეთ იგი დამოწმებული არხით

როდესაც კარიბჭე ლეგიტიმურად მოძრაობს, ჯერ განაახლეთ მისამართი და დატოვეთ იდენტურობა მარტო, რადგან ეს ასეა IKEv2 კარგად ამუშავებს. როდესაც თავად იდენტურობა იცვლება, განიხილე, როგორც ნდობის მოვლენა და მიიღეთ ახალი მნიშვნელობა იმ წყაროდან, რომელსაც უკვე ენდობით და არა იმ ბოლო წერტილიდან, რომელიც ამჟამად წარუმატებელია. კავშირის მეშვეობით მიწოდებული შეტყობინება, რომლის დადასტურებას ცდილობთ, არ არის ამ კავშირის მტკიცებულება.

ჩაწერეთ საბოლოო მისამართი, ვინაობა და SAN სია ერთად პროფილის შენიშვნებში. შემდეგი პირი, რომელიც შეეხება სერთიფიკატს, დაინახავს, რომელ სამიდან ნებადართულია გადაადგილება.