strongSwan EAP: IKE идентификациясы және күтілетін AAA атауы

strongSwan EAP клиенті екі сервер атауын тексере алады. remote.id IKE шлюзін, local.aaa_id EAP серверін қамтиды; бұлар бір өріс емес.

IKEv2 арқылы EAP аутентификациясы клиенттен бір қосылымда екі түрлі сервер атауын тексеруді талап етуі мүмкін. IKE-ді аяқтайтын шлюз бір идентификацияны ұсынады, ал ішкі TLS алмасуын аяқтайтын EAP серверлік бөлігі басқасын ұсынуы мүмкін. strongSwan-да олар түрлі конфигурация блоктарында тұрады, ал атауды дұрыс емес блокқа қою сертификат мәселесіне ұқсайтын қатені тудырады. Қай тексерудің сәтсіз болғанын оқу қай блокты өңдеу керектігін айтады.

Бір қосылым, екі сервер идентификациясы

Бірінші идентификация IKE алмасуына жатады. Клиент мекенжайға қоңырау шалады және қарсы тараптың белгілі бір идентификацияны, әдетте шлюз сертификатындағы атауды дәлелдеуін күтеді.

Екіншісі EAP-қа жатады. PEAP немесе TTLS кезінде клиент IKE SA ішінде аутентификация серверіне TLS туннелін құрады, және сол ішкі сервер өз сертификатын ұсынады. Серверлік бөлік жеке хост болса, оның атауы шлюздің атауынан өзгеше болады. Тек бірінші атауды тексеретін клиент екіншісі айтқанның бәрін қабылдайды. Ал екі жерде де бір атаумен конфигурацияланған клиент екеуі шынымен ерекшеленген бойда сәтсіз болады.

Екі атау да оператордың конфигурациясынан келеді, қатені жоятын сертификаттан емес. Оператордан орналастыру мәліметтерін сұрау екі хост атауын болжаудан жылдамырақ.

Қай өріс қай қабатқа жатады

swanctl-де мекенжай мен IKE идентификациясы бөлек параметрлер, ал EAP идентификациясы үшіншісі.

Қашық мекенжай пакеттердің қайда баратынын таңдайды, ал қашық идентификация қарсы тараптың нені дәлелдеуі керектігін айтады. EAP күтуі local блогының астында жазылады, өйткені ол қарсы тараптың IKE мінез-құлқын емес, осы клиенттің EAP алмасуын сипаттайды. Дәл осы орналасу дұрыс оқылмайды. Атау серверді сипаттай отырып, клиенттің конфигурациясында тұрады, сондықтан ол орынсыз көрінеді.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Бұл үзінді толық қосылым емес; сенім материалы, тіркелгі деректері және еншілес қосылым саясаттары әлі болуы керек. Оны жұмыс файлына сөзбе-сөз көшіру әлі қажет параметрлерді алмастырар еді.

Неге aaa_id local астында тұрады

local блогы бұл жақтың аутентификация кезінде не істейтінін, соның ішінде қолданатын әдісті және сол әдіс үшін қарсы жақтан күтетін идентификацияны сипаттайды. Онда AAA серверінің сол машинада жұмыс істейтіні туралы ештеңе айтылмайды.

Әдепкі мән тұзақты өткірлентеді. Айқын мән орнатылмаса, күтілетін AAA идентификациясы қашық идентификацияны ұстанады, сондықтан бір атаулы орналастыру жұмыс істейді және айырмашылықты жасырады. Айқын мән EAP орналастыруы шынымен басқа жерде аяқталғанда ғана маңызды. Оны сол себепсіз басқа атауға қою оператор қайталай алмайтын қате тудырады. Екінші атауды ойлап таппас бұрын орналастыруды оқыңыз.

Мәнді серверлік бөліктің сертификаты шынымен бекітетін нәрсемен, атау пішімімен қоса, бірдей ұстаңыз. Соңындағы нүкте немесе хостты қамтымайтын жабайы таңба тексерудің сәтсіз болуына жеткілікті.

Бөлуді білдіре алмайтын интерфейстер

NetworkManager профилі swanctl-дің сол конфигурация интерфейсі емес. Оның артындағы плагин идентификацияны басқарудың тар жиынтығын ұсынады, ал қайсысы бар екені орнатылған нұсқаға байланысты.

Бұл орналастыру шынымен екі атауды қажет еткенде маңызды. Сервер идентификациясы деп белгіленген өріс бір қабатты конфигурациялап, екіншісін қажет етпеуі мүмкін, сондықтан профиль дұрыс көрініп, бәрібір ішкі тексеруден өтпей қалуы мүмкін. Профиль бұл орналасуды білдіре алады деп ойламас бұрын орнатылған плагиннің нені қолдайтынын тексеріңіз. Егер қолдамаса, таңдау операторға тиесілі: басқа жеткізу жолы немесе түзетілген сервер идентификациясының дизайны. PEAP-ты әлсірету немесе кез келген атауды қабылдау аутентификация саясатын түзетудің орнына өзгертеді.

Баламаны клиентте ойлап табуға болмайды. Қолдау көрсетілетін орналасуды жазбаша сұраңыз, содан кейін сол жауапты профильмен бірге сақтаңыз.

Идентификация сәйкессіздігін мерзімі біткен сертификаттан ажыратыңыз

Атау сәйкессіздігі мен мерзімі біткен сертификат түрлі қателер, және журнал оларды ажыратады. Қай өрісті өзгертуді шешпес бұрын хабарламаны оқыңыз.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Көзделген AAA идентификациясын орнату сертификатты жаңартпайды және оның шығарушысына сенім орнатпайды, ал сертификатты жаңарту қате күтілетін атауды түзетпейді. Тағы бір идентификация өрісін өңдеусіз бұрын қай тексерудің сәтсіз болғанын оқыңыз. Содан кейін конфигурацияны қайта жүктеп, жүктелген қосылым сіз орнатқан мәнді көрсететінін растаңыз, өйткені ешқашан жүктелмеген өңделген файл ештеңені өзгертпейді. Екі атауды және олардың қабаттарын орналастыру жазбаларына жазыңыз.

Қатысты мақалалар