EAP әлде клиент сертификаттары ма? IKEv2 аутентификациясын шешу

Сіздің шлюзіңіз өз идентитетін сертификатпен дәлелдей алады, ал сіздікін EAP арқылы дәлелдейді, және бұл үйлесім қарама-қайшы емес, қалыпты жағдай. Екі механизм әртүрлі сұрақтарға жауап береді: бұл соңғы нүкте мен күткен нүкте ме, және бұл пайдаланушыға немесе құрылғыға рұқсат етілген бе. Профильде EAP көру серверді тексеруді өшірмейді. Профильді бір параметр ретінде оқу адамдарды қате тіркелгі дерегін қайта орнатуға жібереді.

Екі нысанның қайсысына да қол тигізбес бұрын қай талап сәтсіз болғанын анықтаңыз. Сәтсіздік кезеңі мұны айтады, егер ретімен оқысаңыз.

Екі тіркелгі дерегі, екі талап

Сервер сертификаты атауды кілтке байланыстырады, ал клиент бұл байланысты өзінің сенім қоймасына қарсы тексереді. Клиент сертификаты идентитетті кілтке байланыстырады, ал шлюз ұсынылған сертификаттың өзі сенетін нәрсеге тізбектелетінін тексереді. EAP аутентификация алмасуын тасымалдайды, оның мазмұны таңдалған әдіске байланысты. Бұлар — әртүрлі өмірлік циклдері, әртүрлі иелері және әртүрлі сәтсіздік режимдері бар үш құрылым.

Жеке кілтті ашатын құпиясөз тіркелгі құпиясөзі емес, тіпті екі сұрау бір-бірінен секунд ішінде пайда болса да. Біреуі құрылғының кілт қоймасында жергілікті, ал екіншісін шлюздің артындағы аутентификация сервері тексереді.

EAP — контейнер, әдіс емес

EAP — бұл қаңқа: шлюз бен клиент әдіс туралы келіседі, ал әдіс құпиясөздің, токеннің, туннельденген ішкі алмасудың немесе сертификаттың қатысатынын шешеді, strongSwan-ның IKEv2 құжаттамасы айтқандай. Сондықтан EAP-TLS клиент жағынан EAP-MSCHAPv2-ге мүлде ұқсамайды, екеуі де мәзірде EAP болып көрінсе де. Тек EAP деп көрсететін профиль пайдаланушыдан нені сұрайтынын айтпады.

Әдіс пен backend-ті бірге оқыңыз. Backend тіркелгі пішімін, құлыптау әрекетін және құпиясөзді қайта орнатудың шын мәнінде нені өзгертетінін анықтайды, және оның ешқайсысы клиент профилінде көрінбейді.

Аралас орналастыру қалыпты

Пайдаланушы үшін сервер сертификаты қосу EAP — қашықтан қатынау шлюздерінің көпшілігі қолданатын нысан, өйткені ол клиентке тексерілетін соңғы нүкте, ал операторға орталық тіркелгі қоймасында әр пайдаланушының идентитетін береді. Клиент сертификаттарымен орналастырулар да бар, әдетте құрылғы идентитеті құпиясөзден маңыздырақ жерде. Екеуі де заңды, және қате — өткен аптада көргеніңіз алдыңызда тұрған нәрсе деп есептеу.

Клиенттегі өріс атауларынан болжаудың орнына оператордан құжатталған әдіс пен тіркелгі пішімін сұраңыз.

Сәтсіздік кезеңінен шешім қабылдау

Бақылауларды реттеп шығыңыз. Кез келген пайдаланушы сұрауының алдындағы сенім қатесі — сервер сертификатының мәселесі, оны ешбір құпиясөз түзетпейді. Сұраудан кейін бас тарту келсе, бұл пайдаланушы аутентификациясының мәселесі, EAP әдісі мен backend күдіктілер ретінде. Сәтті аутентификациядан кейін child-SA сәтсіздігі келсе, ол екеуіне де жатпайды.

Тағы екі айырмашылық маңызды. Сервер сертификатынан бас тартқан клиент әдетте атау сәйкессіздігі немесе белгісіз орган туралы хабарлайды, бұл сенім қоймасының сұрағы. Пайдаланушыдан бас тартқан шлюз көбіне EAP әдісі мен себеп санатын жазады, бұл тіркелгі немесе саясат сұрағы.

Екі модельді басқару

Сертификаттарда жұмыс — беру, жаңарту, кері қайтару және жоғалған құрылғыларды жою, және ол сіз бақылайтын кесте бойынша жүреді. EAP-та жұмыс — тіркелгінің өмірлік циклі, әр клиент платформасында әдістерді қолдау және backend талап ететін кез келген екінші фактор. Ешбір модель дерексіз түрде арзан емес; олар әртүрлі командаларды жүктейді. Орналастыруыңыз шын мәнінде қайсысын қолданатынын жазып қойыңыз, өйткені қолдау скрипттері конфигурациядан гөрі көбірек ерекшеленеді.

Оларды жазбаларыңызда бөлек ұстаңыз. Сертификаттың мерзімі бітуі белгілі бір күні сәтсіздік тудырады, тіркелгінің құлыпталуы құпиясөз ауысқаннан кейін сәтсіздік тудырады, ал әдістің сәйкессіздігі тек бір платформада сәтсіздік тудырады.

Идентитет қабылданғаннан кейін

Аутентификация — бір қақпа. Child қауіпсіздік ассоциациясы, трафик селекторлары, DNS және қолданбаның өз рұқсаттары — кейінгі қақпалар, және әрқайсысы өз шарттарымен сәтсіз болады. Еш жерге жетпейтін қабылданған идентитет аутентификация мәселесі емес.

Әдісті, пайдаланылған тіркелгіні немесе сертификатты және сәтсіз болған кезеңді жазып алыңыз. Бұл жазба келесі оқиғаны эксперименттің орнына іздеуге айналдырады.