Бір IKEv2 кіруінде екі тұлға: алдымен машина, содан кейін пайдаланушы

Клиент сертификаты тексеріледі, бірінші алмасу аяқталады, содан кейін қосымша аутентификация раунды туралы қатемен байланыс тоқтайды. Сертификат тізбегінде ешнәрсе дұрыс емес және желіде ешнәрсе өзгерген жоқ. Шлюз қосылатын тараптан екінші дәлел талап ететіндей конфигурацияланған, ал клиент оны ешқашан жібермейді. Кімнің нені және қандай ретпен дәлелдейтінін шешу — бүкіл міндет және ол өзіңіз тұрған шеттен саясатты оқудан басталады. Әртүрлі екі дәлелді белгіленген ретпен қою — жобалау шешімі, таңдау ұяшығы емес.

Белгісі: сәтті бірінші дәлелден кейінгі сәтсіздік

Бірінші алмасу аяқталады және журнал сау көрінеді, шлюз EAP арқылы пайдаланушының жеке басын сұрағанша. Сонда қол алысу тоқтайды немесе қосымша раундты атайтын протокол қатесін қайтарады. Толық жарамды машина сертификаты өзінің жарамдылығына еш қатысы жоқ себеппен қабылданбайды. Саясат екінші дәлелді талап еткен, ал клиенттің жауабы ешқашан келмеді.

Бұл сәтсіздіктің екі сипаттамасы да қай жерде тұрғаныңызға байланысты дұрыс. Клиент жағынан бұл жарамды сертификатты қабылдамайтын серверге ұқсайды, ал сервер жағынан кіруді аяқтай алмайтын клиентке ұқсайды. Сол оқиға бір журналда сенім мәселесі, екіншісінде мүмкіндік мәселесі ретінде оқылады. Тек конфигурацияланған саясат қайсысы екенін айтады.

Кеңейту нені қосады және нені қоспайды

IKEv2 бір сеанс ішінде бірнеше аутентификация алмасуын жүргізуге арналған кеңейтімді алып жүреді. RFC 4739 басқа реттіліктермен қатар сертификат тұлғасын дәлелдеп, содан кейін EAP арқылы адамды аутентификациялайтын клиентті сипаттайды. Құжат Experimental мәртебесінде, яғни ешбір іске асыру сізге бұл мүмкіндікті берешек емес. Серіктес оны келіскенге дейін қолдау туралы ештеңе болжамаңыз.

Екі жақ та кеңейтімді қолдауы және алмасу барысында онымен келісуі керек. Екінші раундқа конфигурацияланған шлюз клиентті оны орындауға мәжбүрлей алмайды, ал оны қолдайтын клиент сервер сұрамаса, оны пайдаланбайды. Дәл осы асимметрия сәтсіздіктің неге әдетте мүмкіндік туралы нақты мәлімдеменің орнына тайм-аут немесе протокол қатесі ретінде көрінетінін түсіндіреді. Бір жақтың конфигурациясын оқу сізге болатын нәрсенің жартысын айтады.

Әр шетке бір дәлел — қалыпты нысан, ал бұл ол жоба емес. Шлюз өз сертификатын ұсынады, пайдаланушы EAP арқылы жауап береді және әр жақ екіншісін дәл бір рет аутентификациялады. Бұл екі дәлел қарама-қарсы шеттерден келеді, сондықтан ешқайсысы машина мен оны пайдаланатын адам туралы бөлек ештеңе айтпайды.

EAP-TLS — үшінші нысан және ол да бұл емес. Онда клиент сертификаты EAP әдісінің ішінде ұсынылады, сондықтан клиент бәрібір бір IKE аутентификациясын аяқтайды. Тіркелгі деректері көпраундты жағдаймен бірдей көрінуі мүмкін, ал протокол екі емес, бір раунд алып жүреді. Сондықтан EAP-TLS орналастыруынан көшірілген жоба екінші дәлел күтілетін жерде дәл сәтсіздікке ұшырайды.

Сол файл шлюзде басқаша оқылады

Сол swanctl файлы қай жерде орындалатынына байланысты басқаша оқылады және адамдар осы бөлікте сүрінеді. Ноутбукта шлюз — серіктес, ал шлюзде ноутбук — серіктес, сондықтан local жағын «мен кіммін» деп, remote жағын «кімді қабылдаймын» деп жазыңыз. local блогы бұл шеттің өзін қалай аутентификациялайтынын сипаттайды, ал remote блогы екінші шеттен нені талап ететінін айтады. Блокты екі файл арасында көшіру бір таңбаны да өзгертпей оның мағынасын төңкеріп тастайды. Екі файлды салыстыру іс жүзінде ештеңе бермейді, өйткені бірдей сөздер әрқайсысында қарама-қарсы мағынаға ие.

Бөлімнің орны оның ретін анықтайды, егер раунд нөмірі оны басып озбаса. Сондықтан қосымша local немесе remote бөлімдері баламаларды емес, қосымша раундтарды сипаттайды, ал swanctl.conf анықтамалығы ішіндегі айқын раунд нөмірі дәл осы ретті әдейі ету үшін бар. Онсыз блокты жылжыту мінез-құлықты өзгертеді. Сондықтан қағазда баламалы көрінетін екі конфигурация қарама-қарсы ретпен жұмыс істеуі мүмкін.

Бұл рет ережесі есте қаларлық ақау режимін тудырады. Екінші remote блогы — тағы бір қолайлы нұсқа емес; ол екінші талап, сондықтан «не/немесе» деп оқылатын саясат «және-содан кейін» сияқты әрекет етеді. Шлюз саясаты тіркелген машинаның сертификатын қабылдап, содан кейін сол пайдаланушының EAP алмасуын дәл осы ретпен талап етуі мүмкін.

Раундтарды тәуелсіз факторлардан ажыратыңыз

Екі раунд автоматты түрде екі тәуелсіз фактор емес. Дәлелді қайталау немесе бір қоймада екі тіркелгі дерегін ұстау жоба қосуға тиіс күшті бермейді. Тәуелсіздік — құпиялардың қалай сақталатынының және оларға не қауіп төндіретінің қасиеті, протоколдың қанша алмасу жасайтыны емес. Раундтарды фактор деп санайтын жоба өзінде барын асыра бағалайды. Бұл айырмашылық сәйкестік сұрағы кірудің іс жүзінде қанша фактор қолданатынын сұрағанда ерекше маңызды.

Машина сертификаты өзінің қабылданған кілтіне иелік етуді дәлелдейді, одан артық емес. Ол аппараттық аттестация да, құрылғы денсаулығы туралы есеп те емес, сондықтан күй ақпаратын қажет ететін саясатқа басқа механизм керек. subject өрісі де сенімді түгендеу белгісі емес, өйткені subject-ті сертификатты берген немесе тіркеген адам таңдайды. Егер жоба машинаның сау екенін дәлелдеуді қажет етсе, бұл дәлел машинаны өлшейтін құрамдас бөліктен келуі керек.

Әр раунд шын мәнінде нені дәлелдейтінін оны қоспас бұрын жазыңыз. Екі раунд бір нәрсені екі рет дәлелдесе, екіншісі сенімнің орнына кідіріс пен қолдау билеттерін қосады. Сол жазба қосымша раунд өз құнын ақтай ма деген дауды да тоқтатады.

Жұптау ережесін жазып, бас тартуларды сынаңыз

Қандай машина тұлғалары қандай адамдармен жұптаса алатынын шешіп, ережені орындау тұратын жерге жазыңыз. Қатар тұрған екі жарамды тіркелгі дерегі жұптау туралы ештеңе дәлелдемейді, өйткені жұптау — аутентификация нәтижесі емес, рұқсат беру шешімі. Тіркеу жазбалары немесе аутентификация бэкенді ұйым қалайтын қатынасты орындауы керек.

Содан кейін сәтсіз болуы тиісті нәрсені сынаңыз: мақұлданбаған машинадағы қабылданған пайдаланушы, машинаның тіркелгі дерегін ұстаған мақұлданбаған пайдаланушы және қосымша раундты орындай алмайтын серіктес. Егер үшеуі де үнсіз бірдей қолжетімділік алса, саясат оны орындаудың орнына ниетті сипаттайды. Жарияланған конфигурацияны демон хабарлайтынмен салыстырыңыз, өйткені ешқашан сәйкес келмеген байланыс өткен ережеге тура ұқсайды:

swanctl --list-conns
swanctl --list-sas

Тек сәтті кіруді ғана емес, келісілген раундтар мен одан туындайтын рұқсатты да тексеріңіз. Ал ескі IKEv1 XAuth параметрлеріне қысқа жол ретінде жүгінбеңіз: байланыс сәтті болғанша қажетті раундты жоюдың орнына протоколды, рөлдерді, ретті және клиенттің нақты мінез-құлқын сәйкестендіріңіз. Сәтсіз раундты жою — екі дәлелді жобаның үнсіз түрде ешкім қарап шықпаған бір дәлелді жобаға айналу жолы. Жоюды өзгерістер жазбасында қалдырыңыз.