IKE сәйкестігі немесе соңғы нүкте мекенжайы: оларды шатастырмаңыз
FQDN түріндегі IKE сәйкестігі — бұл сөзбе-сөз аутентификация мәні, кері DNS іздеу емес. Соңғы нүкте мекенжайын, жергілікті сәйкестікті және күтілетін peer-ді бөлек ұстаңыз.
FQDN сәйкестігі деп белгіленген өрісті сөзбе-сөз жол ретінде оқыңыз, өзіңіздің жария мекенжайыңыздың кері DNS атауын сұрау ретінде емес. strongSwan талдағышында бұл дәл сол, жол, және оны оқу оны ешқашан соңғы нүктеге шешпейді. Осы фактінің өзі peer үшін идентификаторлар таңдағанда ең жиі кездесетін алаңдауды жояды. Төмендегі тексерулер қатысатын үш мәннің бірігуіне жол бермейді.
Белгі — іздеу емес
Өндіруші интерфейстері FQDN және hostname сияқты сөздерді еркін қолданады, ал қораптағы белгі оның артындағы кодтау туралы ештеңе айтпайды. Өрісті Client FQDN деп атайтын құрылғы FQDN, электрондық пошта пішініндегі жол немесе жалаң мекенжай жіберуі мүмкін. Мәтін мен түрді екі бөлек шешім ретінде қарастырып, екеуін де жазып алыңыз.
Сөзбе-сөз сәйкестікте ештеңе DNS-ті талап етпейді. Бұл қарсы жақ тексеретін мәлімдеме, желі шешуі тиіс атау емес.
Үш бөлек мән, бөлек жазылған
Бір конфигурация экранының артында үш жұмыс тұр, және оларды біріктіру — қымбат қате. Бір мән — пакеттердің қайда кететінін анықтайтын соңғы нүкте мекенжайы. Екіншісі — осы peer ұсынатын жергілікті сәйкестік, үшіншісі — оны аутентификациялау алдында алыс жақтан күтетін сәйкестік. Оларды өзгеріс билетінде үш жол етіп жазыңыз, өйткені одан азы VPN-ді сипаттайды, қатынасты емес.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Мысал сәйкестіктерін орналастырудың бөлігі ретінде таңдап, авторизациялау керек. Олар аутентификация тексеретін мәлімдемелер, кез келген peer-ді сенімді ететін тіркелгі деректері емес, сондықтан сенімді көрінетін жол ештеңені авторизацияламайды.
Түр — мәннің бөлігі
strongSwan сәйкестік анықтамалығы FQDN, электрондық пошта пішініндегі мәндерді, IP мекенжайларын және басқа кодтауларды ажыратады, сондықтан кодтау таңбалар сияқты маңызды. Екі құрылғы бірдей мәтінді әртүрлі түрлерде қабылдап, бір-бірінен бас тартуы мүмкін. Мәнді түрінсіз жазатын жазба — конфигурацияның жартысы.
Құрылғы шын мәнінде қай түрді жіберетінін өндірушіден сұраңыз және оны интерфейс белгісімен емес, декодтаумен растаңыз. Болжалды түр — келесі өзгерісті күтіп тұрған сәйкессіздік.
Әр жақ екіншісін қанағаттандыруы керек
Әр жақтың жергілікті сәйкестігі екінші жақтың аутентификация саясатынан өтуі керек. Бұл екі құрылғыдағы әрбір сәйкестік ұяшығына бір жолды қоюмен бірдей емес, ол — ешкім жөндей алмайтын конфигурация тудыратын қысқа жол.
Сертификатпен аутентификациялау өз талаптарын қосады, өйткені сертификаттың сәйкестігі мен сенім шарттары сіз енгізген IKE сәйкестігінің қасында тұр. Тек IKE сәйкестігінің сәйкесуі сертификатты peer-ді авторизацияламайды.
DNS қай жерде маңызды және сіздің нұсқаңыз нені талап етеді
Ашу үшін қолданылатын шлюз hostname-ы шынымен жұмыс істейтін DNS-ті қажет етеді, және бұл талап соңғы нүктені табуға жатады, енгізілген сәйкестіктің қандай да бір кері іздеуіне емес. Билетте екеуін бөлек ұстаңыз, өйткені ашу сәтсіздігі мен сәйкестік сәйкессіздігі клиент журналында ұқсас оқылады және әртүрлі жерлерде жөнделеді.
Түрді талап ететін синтаксисті көшіру алдында нақты іске қосып отырған өнім мен нұсқаның талдағышын оқыңыз, өйткені strongSwan-ның ескі шығарылымдары басқаша әрекет етті және басқа өндірушілер өз шектеулерін қосады. Екі шетті салыстырғанда төрт нәрсені бірге ұстаңыз: күтілетін сәйкестік, ұсынылған сәйкестік, түр және аутентификация қатесі. Бұл жиынтық сәйкессіздікті пікір емес, дәлелге айналдырады.