iPhone IKEv2-ден RouterOS-қа: қай идентификатор қайда орналасады
Төрт бөлек мәлімдеме iOS-тегі IKEv2 туннелін шешеді: терілетін мекенжай, күтілетін сервер идентификациясы, мәлімделген клиент идентификациясы және сертификат материалы.
MikroTik шлюзіне жету IKEv2 орналастыруының тек көлік жартысын шешеді, одан басқа ештеңе жоқ. Содан кейін төрт бөлек мәлімдеме туннельдің құрылатынын шешеді: телефон теретін мекенжай, күтілетін сервер идентификациясы, өзі үшін мәлімдейтін идентификация және сол мәлімдемені қолдайтын сертификат материалы. Оларды осы ретпен тексеріңіз де, шлюз ұсынғанға сәйкес келмейтін біріншісінде тоқтаңыз. Әрқайсысы басқа жерде өңделеді, сондықтан қате өңдеу әдетте ақауды түзетудің орнына орын ауыстырады.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Профиль өрістерін алмасу оларды қолданатын ретпен тексеріңіз
Қашықтағы мекенжай бірінші IKE пакетінің баратын жері және одан артық емес. Қашықтағы идентификатор — телефон шлюздің өзін сол деп дәлелдеуін күтетін нәрсе, және бұл атау, маршрут емес. Екеуін де бірдей хост атымен толтыру шлюз сертификатында сол ат болғанда жұмыс істейді, ал болмағанда маршруттау мәселесіне ұқсайтын түрде сәтсіз аяқталады. Профильді толтырылатын өрістер тізімі ретінде емес, мәлімдемелер тізбегі ретінде оқыңыз.
Жергілікті идентификатор — телефонның өз мәлімдемесі және ол телефон ұсынатын клиент сертификаты үшін RouterOS идентификация жазбасы қабылдайтын атау болуы керек. Екеуі сәйкес келмесе, шлюз сертификаттың өзі расталғаннан кейін қосылымнан бас тартады, ал журнал атау емес, авторизация мәселесіне ұқсайды.
Идентификаторларды шлюз ұсынған нәрсемен салыстырып тексеріңіз
Сертификат арқылы аутентификацияға конфигурацияланған RouterOS серіктес жазбасы өз сертификатын ұсынады және оның идентификациясы басқаша конфигурацияламасаңыз, сол сертификаттан алынады. Егер телефонның қашықтағы идентификаторы шлюздің DNS атын атаса, шлюз сертификатына сол ат телефон қабылдайтын жерде, әдетте субъектінің балама атында қажет. Басқа жалпы атқа берілген сертификат кілт пен тізбек мінсіз болса да расталмайды.
Басқарылатын Apple профильдері идентификатор өрістеріне қосымша бағаланатын сертификат аты шектеуін де алып жүруі мүмкін. Параметрлер экраны көрсететіннен растау атын болжаудың орнына деректерді тексеріңіз, өйткені бұл екеуі бір параметр емес.
Клиент сертификатының кілт екенін, тек сенім тірегі емес екенін тексеріңіз
CA сертификатын импорттау телефонға шлюзді растауға арналған нәрсе береді. Ол телефонға клиент идентификациясын бермейді, ал сертификат арқылы аутентификация клиенттің жапырақ сертификаты мен оның жеке кілтін бекітілген тіркеу жолымен бірге жеткізуді талап етеді. Жеке кілтсіз құрастырылған PKCS#12 таза орнатылатын және ештеңені аутентификацияламайтын профиль береді.
Клиент жапырағына RouterOS жағы күтетін идентификация да қажет, яғни субъект немесе субъектінің балама аты сәйкес идентификация конфигурациясымен сәйкесуі керек. Клиент пен сервер сертификаттарын бір CA-дан беру тізбекті ыңғайлы етеді және екі жапырақты өзара алмастырылатын етпейді.
RouterOS саясаты сол атты қабылдайтынын тексеріңіз
Шлюзде серіктес жазбасы алмасу режимі мен аутентификация әдісін белгілейді, ал идентификация жазбасы қабылданған қашықтағы идентификацияны сертификатпен және одан кейінгі саясатпен байланыстырады. RouterOS v7-де бұл жұп IPsec серіктес және идентификация жазбалары арқылы өрнектеледі, мысалы auth-method=digital-signature бар IKEv2 серіктесі. Ескі нұсқаға жазылған нұсқаулықты емес, орнатылған шығарылымыңыздағы нақты мәзір мазмұнын тексеріңіз.
Дәл осы жерде сәйкессіздікті түзету ең арзан, өйткені шлюз сізге алған және қалаған идентификацияны айта алады. Қатені үнсіз қалдыру үшін қабылданатын идентификацияны кеңейту орналастыруға мән берген байланысты жояды.
Бірдеңені өңдеуден бұрын қай кезең сәтсіз аяқталғанын тексеріңіз
Әрекетті екі жақта оқып, ұсынысты өзгертуден бұрын жіктеңіз. Ұсыныс сәйкессіздігі, жетіспейтін қолтаңба кілті, сенімсіз шығарушы, қате серіктес идентификаторы және қабылданбаған клиент авторизациясы телефоннан өлі туннель болып көрінеді және әрқайсысының иесі бөлек. Бес параметрді бірден өзгерту нәтижеден ештеңе үйренбейтініңізге кепілдік береді.
Ұсынылған идентификацияны, күтілетін идентификацияны, сертификаттың шығарушысы мен сериялық нөмірін және тиісті саясат атын жазып алыңыз, ал жеке кілттер мен профиль құпияларын сол жазбадан тыс ұстаңыз. Аутентификация сәтті болған соң, жеке қызметті және оның жауабын сынап көріңіз, өйткені мекенжай бөлу, селекторлар, DNS және қатынау саясаты IKE алмасуы аяқталғаннан кейін де жұмыс істеуі керек.