IKEv2 сертификатының SAN: сәйкестікті тексеру неге сәтсіз аяқталады

Сертификатыңыз сенімді CA-ға тізбектелген, мерзімдері дұрыс, бірақ теңдес тарап сәйкестік қатесімен 1-кезеңді аяқтаудан әлі де бас тартады. Қолжетімділік пен жарамды қолтаңба IKEv2 клиенті тексеретіннің тек жартысы. Екінші жартысы ол күтетін сәйкестіктің сертификатта дұрыс өрісте көрінуі, және бұл күтуді профиль белгілейді, сертификаттың файл атауы емес.

Симптом әрқашан бірдей пішінде болады

Қосылым профилі хост атауынан IP мекенжайына өзгертіледі немесе DNS атауын алып жүрген сертификаттан тек мекенжайларды алып жүрген сертификатқа жаңартылады, сондатуннель келіссөз жүргізуді тоқтатады. Желі жолында ештеңе өзгерген жоқ. Клиент теңдес тарапқа жетеді, сертификат алады және теңдес тараптың сәйкестігін қабылдамайды, өйткені оған күтуге айтылған идентификатор өзі қабылдайтын өрісте көрсетілмеген. Жаңартулар әдеттегі себеп, өйткені ауыстырушы сертификат көбінесе өзі ауыстыратыннан басқа үлгіден келеді.

Содан кейін екі тарап та пайдасыз нәрсе жазады, сондықтан ақау әдетте сертификат мәселесі ретінде хабарланады. Клиент журналы қалаған сәйкестікті атауы мүмкін, және сол ат сізге керек белгі, мерзімінің біту күні емес.

Идентификатор түрін сәйкестендіріңіз, тек мәнін емес

dNSName SAN мен iPAddress SAN әртүрлі сәйкестендіру ережелері бар әртүрлі өрістер, сондықтан 203.0.113.10-ды DNS жолы ретінде алып жүрген сертификат IP сәйкестігін күтетін клиентті қанағаттандырмайды. Заманауи тексерушілер жалпы атауды көбіне елемейді, сондықтан сертификат мәліметтеріндегі достық белгі қандай сәйкестік болатынын дәлелдемейді. Егер ақаулықты жою кезінде хост атауы мекенжаймен ауыстырылса, тексергенге дейін күтілетін сәйкестік те онымен бірге жылжыды деп есептеңіз. Профильдегі жолды SAN-дағы жолмен таңба-таңба салыстырыңыз, өйткені соңындағы нүкте немесе артық бос орын жеткілікті.

Ауыспалы таңбалар тек DNS ыңғайлылығы және өз сәйкестендіру ережелеріне бағынады, бұл IP негізіндегі профиль оларға ешқашан сүйенбеуі керек екенінің тағы бір себебі.

Әр клиент күтуді қайда сақтайтынын табыңыз

strongSwan-да сертификатпен салыстырылатын мән теңдес тарап сәйкестігі параметрінен келеді: rightid классикалық конфигурацияда, немесе id swanctl-дағы қашықтағы қосылым бөлімінің id мәнінен. Оның Apple IKEv2 өзара үйлесімділігі туралы құжаттамасы осында пайдалы, өйткені профильмен басқарылатын клиент қолданатын сәйкестік конвенцияларын түсіндіреді, және бұл конвенциялар желіде кездейсоқ көрінетін сәйкессіздіктер класын түсіндіреді.

Apple конфигурация профильдері қашықтағы идентификатор өрісін алып жүреді, және дәл сол жердегі мәнді клиент тексереді, қосылым параметрлеріндегі сервер мекенжайын емес. Windows пен құрылғы клиенттерінің әрқайсысының өз өрісі мен өз әдепкі мәні бар, және әдепкі мән көбінесе сіз енгізген мекенжайға ілеседі. Екі өріс қайшы келгенде, клиент шын мәнінде оқитыны жеңеді, және ол сіз өңдеген өріс сирек болады.

Профильді немесе сертификатты әдейі жөндеңіз

Бірдеңені өзгерту алдында теңдес тарап сертификатын мақұлданған құралдармен тексеріп, SAN жазбаларын түрлерімен бірге тізімдеңіз. Бұл тексеру жеке кілтті де, жүктеуді де қажет етпейді және мәселені бірнеше секундта шешеді. Егер орналастыру бір DNS сәйкестігін көздесе, сертификат оны dNSName жазбасы ретінде алып жүруі керек, ал егер орналастыру мекенжайды көздесе, сертификатқа дәл сол мекенжай үшін iPAddress жазбасы қажет.

Сертификат дұрыс болмаса, оператордан нақты күтілетін идентификаторды көрсетіп, түзетілгенін сұраңыз. Профиль дұрыс болмаса, профильді түзетіп, сертификатты тыныш қалдырыңыз. Сәйкестікті тексеруді өшіру қатені жояды және туннельдің сіз көздеген теңдес тараппен сөйлесіп жатқанын тексеруді алып тастайды.

Күтілетін сәйкестікті әр клиент платформасы үшін құжаттаңыз, өйткені бір клиент автоматты түрде шығаратын мән екіншісінде анық көрсетілуі қажет болуы мүмкін.

Жаңарту сұранысына төрт факт беріңіз

Күтілетін идентификаторды және оның түрін, ағымдағы сертификатта шынымен бар SAN жазбаларын, тексеруді орындайтын клиент пен нұсқаны және қатенің нақты мәтінін жазып алыңыз. Осы төрт жолдан құрылған жаңарту сұранысы бірінші ретте дұрыс сертификат алады, сол таныс файл атауы бар басқа сертификат емес.