iPhone IKEv2 RouterOS-მდე: რომელი იდენტიფიკატორი სად ხვდება
ოთხი ცალკეული მტკიცება წყვეტს iOS-ის IKEv2 გვირაბს: აკრეფილი მისამართი, მოსალოდნელი სერვერის იდენტობა, გამოცხადებული კლიენტის იდენტობა და სერტიფიკატის მასალა.
MikroTik-ის კარიბჭემდე მისვლა IKEv2 განლაგების მხოლოდ სატრანსპორტო ნახევარს წყვეტს და სხვა არაფერს. შემდეგ ოთხი ცალკეული მტკიცება წყვეტს, ჩამოყალიბდება თუ არა გვირაბი: მისამართი, რომელსაც ტელეფონი აკრიფავს, სერვერის იდენტობა, რომელსაც ელოდება, იდენტობა, რომელსაც თავისთვის აცხადებს, და სერტიფიკატის მასალა, რომელიც ამ მტკიცებას ეყრდნობა. შეამოწმეთ ისინი ამ თანმიმდევრობით და გაჩერდით პირველზე, რომელიც არ ემთხვევა იმას, რასაც კარიბჭე წარმოადგენს. თითოეული სხვადასხვა ადგილას ირედაქტირება, ამიტომ არასწორი რედაქტირება ჩვეულებრივ ცდომილებას გადაადგილებს და არა ასწორებს.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
შეამოწმეთ პროფილის ველები იმ თანმიმდევრობით, რომლითაც გაცვლა იყენებს მათ
დისტანციური მისამართი პირველი IKE პაკეტის დანიშნულებაა და მეტი არაფერი. დისტანციური იდენტიფიკატორი არის ის, რასაც ტელეფონი ელოდება, რომ კარიბჭე დაამტკიცებს საკუთარ თავს, და ეს სახელია, არა მარშრუტი. ორივეს ერთი და იმავე ჰოსტის სახელით შევსება მუშაობს, როცა კარიბჭის სერტიფიკატი ამ სახელს შეიცავს, და ისე ვერ ახერხებს, რომ მარშრუტიზაციის პრობლემას ჰგავს, როცა არ შეიცავს. წაიკითხეთ პროფილი, როგორც მტკიცებების მიმდევრობა და არა შესავსები ველების სია.
ლოკალური იდენტიფიკატორი თავად ტელეფონის მტკიცებაა და უნდა იყოს სახელი, რომელსაც RouterOS-ის იდენტობის ჩანაწერი მიიღებს ტელეფონის მიერ წარდგენილი კლიენტის სერტიფიკატისთვის. თუ ეს ორი არ ემთხვევა, კარიბჭე კავშირს უარყოფს მას შემდეგ, რაც სერტიფიკატი თავად დამოწმდა, და ჟურნალი ავტორიზაციის პრობლემას ჰგავს და არა სახელდების.
შეამოწმეთ იდენტიფიკატორები იმის წინააღმდეგ, რასაც კარიბჭე წარმოადგენს
სერტიფიკატით ავთენტიფიკაციისთვის კონფიგურირებული RouterOS-ის პირის ჩანაწერი საკუთარ სერტიფიკატს წარმოადგენს და მისი იდენტობა ამ სერტიფიკატიდან მიიღება, თუ სხვაგვარად არ კონფიგურირეთ. თუ ტელეფონის დისტანციური იდენტიფიკატორი კარიბჭის DNS სახელს ასახელებს, კარიბჭის სერტიფიკატს ეს სახელი სჭირდება ისეთ ადგილას, რომელსაც ტელეფონი მიიღებს, ჩვეულებრივ სუბიექტის ალტერნატიულ სახელში. სხვა საერთო სახელისთვის გაცემული სერტიფიკატი არ დამოწმდება, თუნდაც გასაღები და ჯაჭვი უნაკლო იყოს.
მართული Apple პროფილები შეიძლება ატარებდეს სერტიფიკატის სახელის შეზღუდვასაც, რომელიც იდენტიფიკატორის ველების გარდა ფასდება. შეამოწმეთ მონაცემები და ნუ გამოიტანთ დამოწმების სახელს პარამეტრების ეკრანის ჩვენებიდან, რადგან ეს ორი ერთი და იგივე პარამეტრი არ არის.
შეამოწმეთ, რომ კლიენტის სერტიფიკატი გასაღებია და არა მხოლოდ ნდობის ღუზა
CA სერტიფიკატის იმპორტი ტელეფონს აძლევს რაღაცას კარიბჭის დასამოწმებლად. ის არ აძლევს ტელეფონს კლიენტის იდენტობას, და სერტიფიკატით ავთენტიფიკაციას სჭირდება კლიენტის ფოთლის სერტიფიკატი და მისი პირადი გასაღები ერთად, დამტკიცებული რეგისტრაციის გზით. პირადი გასაღების გარეშე აწყობილი PKCS#12 იძლევა პროფილს, რომელიც სუფთად დამონტაჟდება და არაფერს ავთენტიფიცირებს.
კლიენტის ფოთოლს ასევე სჭირდება იდენტობა, რომელსაც RouterOS-ის მხარე ელოდება, რაც ნიშნავს, რომ სუბიექტი ან სუბიექტის ალტერნატიული სახელი უნდა ემთხვეოდეს შესაბამის იდენტობის კონფიგურაციას. კლიენტისა და სერვერის სერტიფიკატების ერთი CA-დან გაცემა ჯაჭვს მოხერხებულს ხდის და ორ ფოთოლს ურთიერთშემცვლელს არ ხდის.
შეამოწმეთ, რომ RouterOS-ის პოლიტიკა იღებს ამ სახელს
კარიბჭეზე პირის ჩანაწერი ადგენს გაცვლის რეჟიმს და ავთენტიფიკაციის მეთოდს, ხოლო იდენტობის ჩანაწერი მიღებულ დისტანციურ იდენტობას უკავშირებს სერტიფიკატს და მომდევნო პოლიტიკას. RouterOS v7-ში ეს წყვილი გამოიხატება IPsec-ის პირისა და იდენტობის ჩანაწერებით, მაგალითად IKEv2 პირი auth-method=digital-signature-ით. შეამოწმეთ თქვენს დაყენებულ გამოშვებაში მენიუს ფაქტობრივი შიგთავსი და არა უფრო ძველისთვის დაწერილი სახელმძღვანელო.
აქვეა შეუსაბამობის გამოსწორება ყველაზე იაფი, რადგან კარიბჭეს შეუძლია გითხრათ როგორც მიღებული, ისე სასურველი იდენტობა. მიღებული იდენტობის გაფართოება შეცდომის ჩასახშობად შლის იმ კავშირს, რომელიც განლაგებას აზრს აძლევდა.
შეამოწმეთ, რომელი ეტაპი ჩავარდა, სანამ რამეს შეცვლით
წაიკითხეთ მცდელობა ორივე მხარეს და დაახარისხეთ სანამ წინადადებას შეცვლით. წინადადების შეუსაბამობა, ხელმოწერის გასაღების ნაკლებობა, არასანდო გამომცემელი, არასწორი პირის იდენტიფიკატორი და უარყოფილი კლიენტის ავტორიზაცია ტელეფონიდან ყველა მკვდარ გვირაბს ჰგავს და თითოეულს განსხვავებული პატრონი ჰყავს. ხუთივე პარამეტრის ერთდროულად შეცვლა იძლევა გარანტიას, რომ შედეგიდან ვერაფერს ისწავლით.
ჩაწერეთ წარმოდგენილი იდენტობა, მოსალოდნელი იდენტობა, სერტიფიკატის გამომცემელი და სერიული ნომერი და შესაბამისი პოლიტიკის სახელი, ხოლო პირადი გასაღებები და პროფილის საიდუმლოებები ამ ჩანაწერის გარეთ შეინახეთ. როცა ავთენტიფიკაცია წარმატებით დასრულდება, გამოსცადეთ კერძო სერვისი და მისი პასუხი, რადგან მისამართების განაწილება, სელექტორები, DNS და წვდომის პოლიტიკა IKE-ის გაცვლის დასრულების შემდეგაც უნდა მუშაობდეს.