IKEv2 сервер мекенжайы және сәйкестік: клиент нені тексереді

Мекенжайды өзгертетін шлюз жұмысын жалғастыра алады, ал жаңа куәліктің артындағы сол шлюз тоқтап, керісінше де болады. Мекенжай клиентке пакеттерді қайда жіберу керектігін айтады; аутентификацияланған идентификация клиентке жауап беретін әріптес сену керек екенін айтады. IKEv2 оларды екі бөлек өріс ретінде сақтайды, бұл оларды бір жол ретінде қарастыруды тоқтатқан кезде пайдалы болады. Олар сондай-ақ әртүрлі жерлерде конфигурацияланған, сондықтан біреуі дұрыс, екіншісі дұрыс емес болуы мүмкін.

Оларды осы ретпен тексеріп, бірінші сәйкессіздікте тоқтаңыз, өйткені кейінгі тексерулер алдыңғылардың өткенін болжайды.

Біріншіден, мекенжай қай мән

Қосылым мекенжайы клиент не теретініне қарамастан: IP мекенжайы, біреуін шешетін DNS атауы немесе жүктемеге теңестірілген алдыңғы жақ. Бұл көлік туралы ақпарат және басқа ештеңе емес. Идентификатор IKEv2 идентификаторының пайдалы жүктемесінде жүреді және одан кейін әріптес сертификатымен сәйкестендіріледі. Мекенжай жолағындағы DNS атауы күтілетін сәйкестікке айналмайды, ал өңделмеген IP розетка оған қосылғандықтан ғана сәйкестендіруге айналмайды.

strongSwan терминдерінде мекенжай right немесе left және күтілетін сәйкестік rightid немесе leftid болып табылады және IKEv2 конфигурация құжаттамасы сипаттайды. Мекенжайды тек бір рет өңдеген болсаңыз, жұптың жартысын теңшегенсіз.

Екіншіден, сертификат нені дәлелдей алады

Сәйкестендірудің түрі бар және сертификатта сәйкес атау болуы керек. DNS сәйкестендіру пәнінің балама атауы кеңейтіміндегі dNSName жазбасымен қанағаттандырылады; IP идентификациясына iPAddress жазбасы қажет. vpn.example.com үшін берілген сертификат 203.0.113.10 әріптік мекенжайы туралы ештеңе дәлелдемейді, ал сол мекенжай үшін берілген сертификат атау туралы ештеңені дәлелдемейді. Сондықтан, басқа атқа қайта шығару, тіпті бірдей кілт және CA қайта пайдаланылса да, ашылмалы ауыстыру болып табылмайды.

Пәннің балама атауы бар кезде қазіргі клиенттер жалпы атауды елемейді және көпшілігі оны толығымен елемейді. Егер SAN тізімінде клиент тексеретін мән болмаса, сертификат сенімді деп қабылданғаннан кейін қол алысу сәтсіз аяқталады, сондықтан журнал сенім қатесі емес, сәйкестік қатесі сияқты оқылады.

Үшіншіден, әрбір клиент күтуді қалай айтады

Windows сіз терген сервер атауын немесе мекенжайын алады және оған сәйкес сертификатты талап етеді, сондықтан IP теру IP күтуін жасайды. Android пайдаланушысының IKEv2 клиенті бірдей әрекет етеді және екеуі де басқа хост атауын беретін жарамды, жалпыға ортақ сенімді куәлікті қабылдамайды. Тасымалдау кезінде біреу хост атын оның мекенжайымен ауыстырғандықтан профиль сәтсіздікке ұшырауы мүмкін. Сертификатта не бар екенін көрмес бұрын, клиент не сұрағанын қараңыз.

strongSwan параметрінде күту анық: rightid параметрін сервер нақты ұсынатын сәйкестендіруге орнатыңыз, ол оң жақтан өзгеше болуы мүмкін. Оны %any күйіне орнату әріптес ұсынатын кез келген нәрсені қабылдайды және дәл сіз сақтағыңыз келген чекті алып тастайды.

Төртіншіден, пайдаланушының логинін серіктес сәйкестендіруден бөлек

EAP аутентификация және сервер идентификациясы әртүрлі сұрақтарға жауап береді. [email protected] сияқты EAP идентификациясы клиент сервер дұрыс деп шешкеннен кейін пайдаланушының кім екенін айтады. Бұл құпия сөзді айналдыру теңдік сәйкестіктерінің сәйкессіздігін түзете алмайды, себебі қосылым ешқашан пайдаланушының кіру кезеңіне жетпейді.

Залалсыздандырылған есепте екеуі де аталуы керек: клиент күткен сәйкестік, сервер ұсынған сәйкестік және сертификаттың SAN жазбалары.

Бесіншіден, оны тексерілген арна арқылы өзгерту

Шлюз заңды түрде қозғалғанда, алдымен мекенжайды жаңартыңыз және сәйкестендіруді жалғыз қалдырыңыз, себебі бұл IKEv2 жақсы өңделеді. Сәйкестіктің өзі өзгерген кезде, оны сенім оқиғасы ретінде қарастырыңыз және жаңа мәнді қазіргі сәтсіз аяқталатын нүктеден емес, бұрыннан сенетін көзден алыңыз. Сіз растауға тырысып жатқан қосылым арқылы жеткізілген хабар бұл қосылымның дәлелі емес.

Соңғы мекенжайды, сәйкестікті және SAN тізімін профиль жазбаларында бірге жазыңыз. Сертификатқа қол тигізген келесі адам үшеуінің қайсысы қозғалуға рұқсат етілгенін көреді.