IKEv2 ಸರ್ವರ್ ವಿಳಾಸ vs ಗುರುತು: ಕ್ಲೈಂಟ್ ನಿಜವಾಗಿ ಏನು ಪರಿಶೀಲಿಸುತ್ತದೆ

ಹೊಸ ಪ್ರಮಾಣಪತ್ರದ ಹಿಂದೆ ಅದೇ ಗೇಟ್ವೇ ನಿಲ್ಲುವಾಗ ವಿಳಾಸವನ್ನು ಬದಲಾಯಿಸುವ ಗೇಟ್ವೇ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತಲೇ ಇರುತ್ತದೆ ಮತ್ತು ರಿವರ್ಸ್ ಕೂಡ ಸಂಭವಿಸುತ್ತದೆ. ಪ್ಯಾಕೆಟ್ಗಳನ್ನು ಎಲ್ಲಿಗೆ ಕಳುಹಿಸಬೇಕೆಂದು ವಿಳಾಸವು ಕ್ಲೈಂಟ್ಗೆ ಹೇಳುತ್ತದೆ; ದೃಢೀಕರಿಸಿದ ಗುರುತು ಕ್ಲೈಂಟ್ಗೆ ಉತ್ತರಿಸುವ ಪೀರ್ ಅನ್ನು ನಂಬಬೇಕೇ ಎಂದು ಹೇಳುತ್ತದೆ. IKEv2 ಅವುಗಳನ್ನು ಎರಡು ಪ್ರತ್ಯೇಕ ಕ್ಷೇತ್ರಗಳಾಗಿ ಇರಿಸುತ್ತದೆ, ಒಮ್ಮೆ ನೀವು ಅವುಗಳನ್ನು ಒಂದು ಸ್ಟ್ರಿಂಗ್ನಂತೆ ಪರಿಗಣಿಸುವುದನ್ನು ನಿಲ್ಲಿಸಿದರೆ ಅದು ಉಪಯುಕ್ತವಾಗಿರುತ್ತದೆ. ಅವುಗಳನ್ನು ವಿವಿಧ ಸ್ಥಳಗಳಲ್ಲಿ ಕಾನ್ಫಿಗರ್ ಮಾಡಲಾಗಿದೆ, ಆದ್ದರಿಂದ ಒಂದು ಸರಿಯಾಗಿರಬಹುದು ಆದರೆ ಇನ್ನೊಂದು ತಪ್ಪಾಗಿದೆ.

ಈ ಕ್ರಮದಲ್ಲಿ ಅವುಗಳನ್ನು ಪರಿಶೀಲಿಸಿ ಮತ್ತು ಮೊದಲ ಅಸಾಮರಸ್ಯದಲ್ಲಿ ನಿಲ್ಲಿಸಿ, ಏಕೆಂದರೆ ನಂತರದ ಚೆಕ್ಗಳು ಹಿಂದಿನವುಗಳನ್ನು ಅಂಗೀಕರಿಸುತ್ತವೆ.

ಮೊದಲನೆಯದಾಗಿ, ಯಾವ ಮೌಲ್ಯವು ವಿಳಾಸವಾಗಿದೆ

ಸಂಪರ್ಕದ ವಿಳಾಸವು ಕ್ಲೈಂಟ್ ಡಯಲ್ ಮಾಡುವ ಯಾವುದೇ ಆಗಿರುತ್ತದೆ: ಒಂದು IP, ಒಂದು DNS ಹೆಸರು ಒಂದಕ್ಕೆ ಪರಿಹರಿಸುತ್ತದೆ, ಅಥವಾ ಲೋಡ್-ಸಮತೋಲಿತ ಮುಂಭಾಗ. ಅದು ಸಾರಿಗೆ ಮಾಹಿತಿ ಮತ್ತು ಹೆಚ್ಚೇನೂ ಇಲ್ಲ. ಗುರುತನ್ನು IKEv2 ID ಪೇಲೋಡ್ನಲ್ಲಿ ಸವಾರಿ ಮಾಡುತ್ತದೆ ಮತ್ತು ನಂತರ ಪೀರ್ನ ಪ್ರಮಾಣಪತ್ರದೊಂದಿಗೆ ಹೊಂದಾಣಿಕೆಯಾಗುತ್ತದೆ. ವಿಳಾಸ ಪೆಟ್ಟಿಗೆಯಲ್ಲಿನ DNS ಹೆಸರು ನಿರೀಕ್ಷಿತ ಗುರುತಾಗುವುದಿಲ್ಲ ಮತ್ತು ಸಾಕೆಟ್ ಅದರೊಂದಿಗೆ ಸಂಪರ್ಕಗೊಂಡಿರುವುದರಿಂದ ಕಚ್ಚಾ IP ಗುರುತಾಗುವುದಿಲ್ಲ.

strongSwan ಪರಿಭಾಷೆಯಲ್ಲಿ, ವಿಳಾಸವು right ಅಥವಾ left, ಮತ್ತು ನಿರೀಕ್ಷಿತ ಗುರುತು rightid ಅಥವಾ leftid, ಮತ್ತು IKEv2 ಕಾನ್ಫಿಗರೇಶನ್ ದಸ್ತಾವೇಜನ್ನು ವಿವರಿಸುತ್ತದೆ. ನೀವು ಎಂದಾದರೂ ವಿಳಾಸವನ್ನು ಮಾತ್ರ ಸಂಪಾದಿಸಿದ್ದರೆ, ನೀವು ಜೋಡಿಯ ಅರ್ಧವನ್ನು ಕಾನ್ಫಿಗರ್ ಮಾಡಿದ್ದೀರಿ.

ಎರಡನೆಯದಾಗಿ, ಪ್ರಮಾಣಪತ್ರವು ಏನು ಸಾಬೀತುಪಡಿಸಬಹುದು

ಗುರುತು ಒಂದು ಪ್ರಕಾರವನ್ನು ಹೊಂದಿದೆ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರವು ಹೊಂದಾಣಿಕೆಯ ಹೆಸರನ್ನು ಹೊಂದಿರಬೇಕು. ಒಂದು DNS ಗುರುತನ್ನು ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರು ವಿಸ್ತರಣೆಯಲ್ಲಿನ dNSName ನಮೂದು ಮೂಲಕ ತೃಪ್ತಿಪಡಿಸಲಾಗಿದೆ; IP ಗುರುತಿಗೆ iPAddress ನಮೂದು ಅಗತ್ಯವಿದೆ. vpn.example.com ಗಾಗಿ ನೀಡಲಾದ ಪ್ರಮಾಣಪತ್ರವು ಅಕ್ಷರಶಃ ವಿಳಾಸ 203.0.113.10 ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ ಮತ್ತು ಆ ವಿಳಾಸಕ್ಕೆ ನೀಡಲಾದ ಒಂದು ಹೆಸರಿನ ಬಗ್ಗೆ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಅದೇ ಕೀ ಮತ್ತು CA ಅನ್ನು ಮರುಬಳಕೆ ಮಾಡಿದಾಗಲೂ ಬೇರೆ ಹೆಸರಿಗೆ ಮರುಹಂಚಿಕೆ ಡ್ರಾಪ್-ಇನ್ ಬದಲಿಯಾಗಿಲ್ಲ.

ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರು ಅಸ್ತಿತ್ವದಲ್ಲಿದ್ದಾಗ ಆಧುನಿಕ ಗ್ರಾಹಕರು ಸಾಮಾನ್ಯ ಹೆಸರನ್ನು ನಿರ್ಲಕ್ಷಿಸುತ್ತಾರೆ ಮತ್ತು ಅನೇಕರು ಅದನ್ನು ಸಂಪೂರ್ಣವಾಗಿ ನಿರ್ಲಕ್ಷಿಸುತ್ತಾರೆ. SAN ಪಟ್ಟಿಯು ಕ್ಲೈಂಟ್ ಪರಿಶೀಲಿಸುವ ಮೌಲ್ಯವನ್ನು ಹೊಂದಿಲ್ಲದಿದ್ದರೆ, ಪ್ರಮಾಣಪತ್ರವನ್ನು ಈಗಾಗಲೇ ವಿಶ್ವಾಸಾರ್ಹವೆಂದು ಸ್ವೀಕರಿಸಿದ ನಂತರ ಹ್ಯಾಂಡ್ಶೇಕ್ ವಿಫಲಗೊಳ್ಳುತ್ತದೆ, ಅದಕ್ಕಾಗಿಯೇ ಲಾಗ್ ವಿಶ್ವಾಸಾರ್ಹ ದೋಷಕ್ಕಿಂತ ಗುರುತಿನ ದೋಷದಂತೆ ಓದುತ್ತದೆ.

ಮೂರನೆಯದಾಗಿ, ಪ್ರತಿ ಕ್ಲೈಂಟ್ ನಿರೀಕ್ಷೆಯನ್ನು ಹೇಗೆ ಹೇಳುತ್ತದೆ

Windows ನೀವು ಟೈಪ್ ಮಾಡಿದ ಸರ್ವರ್ ಹೆಸರು ಅಥವಾ ವಿಳಾಸವನ್ನು ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಮತ್ತು ಅದನ್ನು ಹೊಂದಿಸಲು ಪ್ರಮಾಣಪತ್ರದ ಅಗತ್ಯವಿರುತ್ತದೆ, ಆದ್ದರಿಂದ IP ಅನ್ನು ಟೈಪ್ ಮಾಡುವುದು IP ನಿರೀಕ್ಷೆಯನ್ನು ಸೃಷ್ಟಿಸುತ್ತದೆ. Android ನ IKEv2 ಕ್ಲೈಂಟ್ ಒಂದೇ ರೀತಿಯಲ್ಲಿ ವರ್ತಿಸುತ್ತದೆ ಮತ್ತು ಇಬ್ಬರೂ ಬೇರೆ ಹೋಸ್ಟ್ ಅನ್ನು ಹೆಸರಿಸುವ ಮಾನ್ಯವಾದ, ಸಾರ್ವಜನಿಕವಾಗಿ ವಿಶ್ವಾಸಾರ್ಹ ಪ್ರಮಾಣಪತ್ರವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತಾರೆ. ವಲಸೆಯ ಸಮಯದಲ್ಲಿ ಯಾರಾದರೂ ಹೋಸ್ಟ್ ಹೆಸರನ್ನು ಅದರ ವಿಳಾಸದೊಂದಿಗೆ ಬದಲಾಯಿಸಿದ ಕಾರಣ ಪ್ರೊಫೈಲ್ ವಿಫಲಗೊಳ್ಳಲು ಪ್ರಾರಂಭಿಸಬಹುದು. ಪ್ರಮಾಣಪತ್ರವು ಏನನ್ನು ಒಳಗೊಂಡಿದೆ ಎಂಬುದನ್ನು ನೋಡುವ ಮೊದಲು ಕ್ಲೈಂಟ್ ಏನು ಕೇಳಿದೆ ಎಂಬುದನ್ನು ನೋಡಿ.

strongSwan ನಲ್ಲಿ ನಿರೀಕ್ಷೆಯು ಸ್ಪಷ್ಟವಾಗಿದೆ: rightid ಅನ್ನು ಸರ್ವರ್ ನಿಜವಾಗಿ ಪ್ರಸ್ತುತಪಡಿಸುವ ಗುರುತನ್ನು ಹೊಂದಿಸಿ, ಅದು ಬಲದಿಂದ ಭಿನ್ನವಾಗಿರಬಹುದು. ಇದನ್ನು %any ಗೆ ಹೊಂದಿಸುವುದರಿಂದ ಪೀರ್ ಕೊಡುಗೆಗಳನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಮತ್ತು ನೀವು ಇರಿಸಿಕೊಳ್ಳಲು ಪ್ರಯತ್ನಿಸುತ್ತಿರುವ ಚೆಕ್ ಅನ್ನು ನಿಖರವಾಗಿ ತೆಗೆದುಹಾಕುತ್ತದೆ.

ನಾಲ್ಕನೆಯದಾಗಿ, ಪೀರ್ ಐಡೆಂಟಿಟಿಯಿಂದ ಪ್ರತ್ಯೇಕ ಬಳಕೆದಾರ ಲಾಗಿನ್

EAP ದೃಢೀಕರಣ ಮತ್ತು ಸರ್ವರ್ ಗುರುತು ವಿಭಿನ್ನ ಪ್ರಶ್ನೆಗಳಿಗೆ ಉತ್ತರಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ ಸರ್ವರ್ ಸರಿಯಾದದ್ದು ಎಂದು ನಿರ್ಧರಿಸಿದ ನಂತರ, [email protected] ನಂತಹ EAP ಗುರುತನ್ನು ಬಳಕೆದಾರರು ಯಾರು ಎಂದು ಹೇಳುತ್ತದೆ. ಆ ಪಾಸ್ವರ್ಡ್ ಅನ್ನು ತಿರುಗಿಸುವುದರಿಂದ ಪೀರ್ ಐಡೆಂಟಿಟಿ ಅಸಾಮರಸ್ಯವನ್ನು ಸರಿಪಡಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ, ಏಕೆಂದರೆ ಸಂಪರ್ಕವು ಎಂದಿಗೂ ಬಳಕೆದಾರ-ಲಾಗಿನ್ ಹಂತವನ್ನು ತಲುಪುವುದಿಲ್ಲ.

ಶುದ್ಧೀಕರಿಸಿದ ವರದಿಯು ಎರಡನ್ನೂ ಹೆಸರಿಸಬೇಕು: ಕ್ಲೈಂಟ್ ನಿರೀಕ್ಷಿಸಿದ ಗುರುತು, ಸರ್ವರ್ ಪ್ರಸ್ತುತಪಡಿಸಿದ ಗುರುತು ಮತ್ತು ಪ್ರಮಾಣಪತ್ರದ SAN ನಮೂದುಗಳು.

ಐದನೆಯದಾಗಿ, ಪರಿಶೀಲಿಸಿದ ಚಾನಲ್ ಮೂಲಕ ಅದನ್ನು ಬದಲಾಯಿಸಿ

ಗೇಟ್ವೇ ನ್ಯಾಯಸಮ್ಮತವಾಗಿ ಚಲಿಸಿದಾಗ, ಮೊದಲು ವಿಳಾಸವನ್ನು ನವೀಕರಿಸಿ ಮತ್ತು ಗುರುತನ್ನು ಮಾತ್ರ ಬಿಡಿ, ಏಕೆಂದರೆ ಅದು IKEv2 ಉತ್ತಮವಾಗಿ ನಿರ್ವಹಿಸುತ್ತದೆ. ಗುರುತು ಸ್ವತಃ ಬದಲಾದಾಗ, ಅದನ್ನು ಟ್ರಸ್ಟ್ ಈವೆಂಟ್ ಎಂದು ಪರಿಗಣಿಸಿ ಮತ್ತು ನೀವು ಈಗಾಗಲೇ ನಂಬಿರುವ ಮೂಲದಿಂದ ಹೊಸ ಮೌಲ್ಯವನ್ನು ಪಡೆಯಿರಿ, ಪ್ರಸ್ತುತ ವಿಫಲವಾಗಿರುವ ಅಂತಿಮ ಬಿಂದುವಿನಿಂದ ಅಲ್ಲ. ನೀವು ಮೌಲ್ಯೀಕರಿಸಲು ಪ್ರಯತ್ನಿಸುತ್ತಿರುವ ಸಂಪರ್ಕದ ಮೂಲಕ ವಿತರಿಸಲಾದ ಸಂದೇಶವು ಆ ಸಂಪರ್ಕದ ಬಗ್ಗೆ ಪುರಾವೆಯಾಗಿಲ್ಲ.

ಪ್ರೊಫೈಲ್ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಅಂತಿಮ ವಿಳಾಸ, ಗುರುತು ಮತ್ತು SAN ಪಟ್ಟಿಯನ್ನು ಒಟ್ಟಿಗೆ ದಾಖಲಿಸಿ. ಪ್ರಮಾಣಪತ್ರವನ್ನು ಸ್ಪರ್ಶಿಸುವ ಮುಂದಿನ ವ್ಯಕ್ತಿಯು ಮೂವರಲ್ಲಿ ಯಾರನ್ನು ಸರಿಸಲು ಅನುಮತಿಸಲಾಗಿದೆ ಎಂಬುದನ್ನು ನೋಡುತ್ತಾರೆ.