iPhone IKEv2 ಇಂದ RouterOS ಗೆ: ಯಾವ ಗುರುತು ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತದೆ
iOS ನಲ್ಲಿ IKEv2 ಸುರಂಗವನ್ನು ನಾಲ್ಕು ಪ್ರತ್ಯೇಕ ಹೇಳಿಕೆಗಳು ನಿರ್ಧರಿಸುತ್ತವೆ: ಡಯಲ್ ಮಾಡುವ ವಿಳಾಸ, ನಿರೀಕ್ಷಿತ ಸರ್ವರ್ ಗುರುತು, ಹೇಳಿಕೊಳ್ಳುವ ಕ್ಲೈಂಟ್ ಗುರುತು ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಸಾಮಗ್ರಿ.
MikroTik ಗೇಟ್ವೇ ತಲುಪುವುದು IKEv2 ನಿಯೋಜನೆಯ ಸಾರಿಗೆ ಅರ್ಧವನ್ನು ಮಾತ್ರ ಪರಿಹರಿಸುತ್ತದೆ, ಬೇರೇನೂ ಅಲ್ಲ. ನಂತರ ನಾಲ್ಕು ಪ್ರತ್ಯೇಕ ಹೇಳಿಕೆಗಳು ಸುರಂಗ ರೂಪುಗೊಳ್ಳುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತವೆ: ಫೋನ್ ಡಯಲ್ ಮಾಡುವ ವಿಳಾಸ, ಅದು ನಿರೀಕ್ಷಿಸುವ ಸರ್ವರ್ ಗುರುತು, ಅದು ತನಗಾಗಿ ಹೇಳಿಕೊಳ್ಳುವ ಗುರುತು, ಮತ್ತು ಆ ಹೇಳಿಕೆಗೆ ಆಧಾರವಾಗಿರುವ ಪ್ರಮಾಣಪತ್ರ ಸಾಮಗ್ರಿ. ಅವನ್ನು ಆ ಕ್ರಮದಲ್ಲೇ ಪರಿಶೀಲಿಸಿ, ಗೇಟ್ವೇ ಪ್ರಸ್ತುತಪಡಿಸುವುದಕ್ಕೆ ಹೊಂದಿಕೆಯಾಗದ ಮೊದಲನೆಯದರಲ್ಲಿ ನಿಲ್ಲಿಸಿ. ಪ್ರತಿಯೊಂದೂ ಬೇರೆ ಬೇರೆ ಸ್ಥಳದಲ್ಲಿ ಸಂಪಾದನೆಯಾಗುತ್ತದೆ, ಆದ್ದರಿಂದ ತಪ್ಪು ಸಂಪಾದನೆ ಸಾಮಾನ್ಯವಾಗಿ ವೈಫಲ್ಯವನ್ನು ಸರಿಪಡಿಸುವ ಬದಲು ಸ್ಥಳಾಂತರಿಸುತ್ತದೆ.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
ಪ್ರೊಫೈಲ್ ಕ್ಷೇತ್ರಗಳನ್ನು ವಿನಿಮಯ ಅವನ್ನು ಬಳಸುವ ಕ್ರಮದಲ್ಲೇ ಪರಿಶೀಲಿಸಿ
ದೂರದ ವಿಳಾಸವು ಮೊದಲ IKE ಪ್ಯಾಕೆಟ್ನ ಗಮ್ಯಸ್ಥಾನ ಮತ್ತು ಅಷ್ಟೇ. ದೂರದ ಗುರುತಿಸುವಿಕೆಯು ಫೋನ್ ಗೇಟ್ವೇ ತಾನೇ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುವುದು, ಮತ್ತು ಅದು ಹೆಸರು, ಮಾರ್ಗವಲ್ಲ. ಎರಡನ್ನೂ ಒಂದೇ ಹೋಸ್ಟ್ನಾಮ್ನಿಂದ ತುಂಬುವುದು ಗೇಟ್ವೇಯ ಪ್ರಮಾಣಪತ್ರವು ಆ ಹೆಸರನ್ನು ಹೊಂದಿದಾಗ ಕೆಲಸ ಮಾಡುತ್ತದೆ, ಮತ್ತು ಹೊಂದಿಲ್ಲದಿದ್ದಾಗ ರೂಟಿಂಗ್ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುವ ರೀತಿಯಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ. ಪ್ರೊಫೈಲ್ ಅನ್ನು ತುಂಬಬೇಕಾದ ಕ್ಷೇತ್ರಗಳ ಪಟ್ಟಿಯಾಗಿ ಅಲ್ಲ, ಹೇಳಿಕೆಗಳ ಅನುಕ್ರಮವಾಗಿ ಓದಿ.
ಸ್ಥಳೀಯ ಗುರುತಿಸುವಿಕೆಯು ಫೋನಿನ ಸ್ವಂತ ಹೇಳಿಕೆ, ಮತ್ತು ಫೋನ್ ಪ್ರಸ್ತುತಪಡಿಸುವ ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರಕ್ಕಾಗಿ RouterOS ಗುರುತಿನ ನಮೂದು ಸ್ವೀಕರಿಸುವ ಹೆಸರಾಗಿರಬೇಕು. ಎರಡೂ ಹೊಂದಿಕೆಯಾಗದಿದ್ದರೆ, ಪ್ರಮಾಣಪತ್ರವೇ ಮಾನ್ಯವಾದ ನಂತರ ಗೇಟ್ವೇ ಸಂಪರ್ಕವನ್ನು ತಿರಸ್ಕರಿಸುತ್ತದೆ, ಮತ್ತು ಲಾಗ್ ಹೆಸರಿಸುವಿಕೆಯ ಸಮಸ್ಯೆಯಂತೆ ಅಲ್ಲ, ಅಧಿಕೃತೀಕರಣದ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುತ್ತದೆ.
ಗುರುತಿಸುವಿಕೆಗಳನ್ನು ಗೇಟ್ವೇ ಪ್ರಸ್ತುತಪಡಿಸುವುದರ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸಿ
ಪ್ರಮಾಣಪತ್ರ ದೃಢೀಕರಣಕ್ಕಾಗಿ ಸಂರಚಿಸಲಾದ RouterOS ಪೀರ್ ನಮೂದು ತನ್ನ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಬೇರೆ ರೀತಿಯಲ್ಲಿ ಸಂರಚಿಸದಿದ್ದರೆ ಅದರ ಗುರುತು ಆ ಪ್ರಮಾಣಪತ್ರದಿಂದಲೇ ಬರುತ್ತದೆ. ಫೋನಿನ ದೂರದ ಗುರುತಿಸುವಿಕೆಯು ಗೇಟ್ವೇಯ DNS ಹೆಸರನ್ನು ಹೆಸರಿಸಿದರೆ, ಗೇಟ್ವೇಯ ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಆ ಹೆಸರು ಫೋನ್ ಸ್ವೀಕರಿಸುವ ಸ್ಥಳದಲ್ಲಿ ಬೇಕು, ಸಾಮಾನ್ಯವಾಗಿ ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರಿನಲ್ಲಿ. ಬೇರೆ ಸಾಮಾನ್ಯ ಹೆಸರಿಗೆ ನೀಡಿದ ಪ್ರಮಾಣಪತ್ರವು ಕೀಲಿ ಮತ್ತು ಸರಪಳಿ ಪರಿಪೂರ್ಣವಾಗಿದ್ದರೂ ಮಾನ್ಯವಾಗುವುದಿಲ್ಲ.
ನಿರ್ವಹಿತ Apple ಪ್ರೊಫೈಲ್ಗಳು ಗುರುತಿಸುವಿಕೆ ಕ್ಷೇತ್ರಗಳಿಗೆ ಹೆಚ್ಚುವರಿಯಾಗಿ ಮೌಲ್ಯಮಾಪನವಾಗುವ ಪ್ರಮಾಣಪತ್ರ-ಹೆಸರಿನ ನಿರ್ಬಂಧವನ್ನೂ ಹೊಂದಿರಬಹುದು. ಸೆಟ್ಟಿಂಗ್ಸ್ ಪರದೆ ತೋರಿಸುವುದರಿಂದ ಮಾನ್ಯತೆಯ ಹೆಸರನ್ನು ಊಹಿಸುವ ಬದಲು ಪೇಲೋಡ್ ಅನ್ನು ಪರಿಶೀಲಿಸಿ, ಏಕೆಂದರೆ ಎರಡೂ ಒಂದೇ ಸೆಟ್ಟಿಂಗ್ ಅಲ್ಲ.
ಕ್ಲೈಂಟ್ ಪ್ರಮಾಣಪತ್ರವು ಕೀಲಿಯೇ ಹೊರತು ಕೇವಲ ವಿಶ್ವಾಸ ಆಂಕರ್ ಅಲ್ಲ ಎಂದು ಪರಿಶೀಲಿಸಿ
CA ಪ್ರಮಾಣಪತ್ರವನ್ನು ಆಮದು ಮಾಡಿಕೊಳ್ಳುವುದು ಗೇಟ್ವೇಯನ್ನು ಮಾನ್ಯಗೊಳಿಸಲು ಫೋನಿಗೆ ಏನನ್ನೋ ನೀಡುತ್ತದೆ. ಅದು ಫೋನಿಗೆ ಕ್ಲೈಂಟ್ ಗುರುತನ್ನು ನೀಡುವುದಿಲ್ಲ, ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ದೃಢೀಕರಣಕ್ಕೆ ಕ್ಲೈಂಟ್ ಎಲೆ ಪ್ರಮಾಣಪತ್ರ ಮತ್ತು ಅದರ ಖಾಸಗಿ ಕೀಲಿ ಅನುಮೋದಿತ ನೋಂದಣಿ ಮಾರ್ಗದ ಮೂಲಕ ಒಟ್ಟಿಗೆ ತಲುಪಬೇಕು. ಖಾಸಗಿ ಕೀಲಿ ಇಲ್ಲದೆ ನಿರ್ಮಿಸಿದ PKCS#12 ಸ್ವಚ್ಛವಾಗಿ ಸ್ಥಾಪನೆಯಾಗುವ ಮತ್ತು ಏನನ್ನೂ ದೃಢೀಕರಿಸದ ಪ್ರೊಫೈಲ್ ಅನ್ನು ನೀಡುತ್ತದೆ.
ಕ್ಲೈಂಟ್ ಎಲೆಗೆ RouterOS ಬದಿ ನಿರೀಕ್ಷಿಸುವ ಗುರುತೂ ಬೇಕು, ಅಂದರೆ ವಿಷಯ ಅಥವಾ ವಿಷಯದ ಪರ್ಯಾಯ ಹೆಸರು ಸಂಬಂಧಿತ ಗುರುತಿನ ಸಂರಚನೆಗೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು. ಒಂದೇ CA ಯಿಂದ ಕ್ಲೈಂಟ್ ಮತ್ತು ಸರ್ವರ್ ಪ್ರಮಾಣಪತ್ರಗಳನ್ನು ನೀಡುವುದು ಸರಪಳಿಯನ್ನು ಅನುಕೂಲಕರವಾಗಿಸುತ್ತದೆ ಮತ್ತು ಎರಡು ಎಲೆಗಳನ್ನು ಪರಸ್ಪರ ಬದಲಾಯಿಸಬಹುದಾದಂತೆ ಮಾಡುವುದಿಲ್ಲ.
RouterOS ನೀತಿಯು ಆ ಹೆಸರನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿ
ಗೇಟ್ವೇಯಲ್ಲಿ ಪೀರ್ ನಮೂದು ವಿನಿಮಯ ಕ್ರಮ ಮತ್ತು ದೃಢೀಕರಣ ವಿಧಾನವನ್ನು ನಿಗದಿಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಗುರುತಿನ ನಮೂದು ಸ್ವೀಕೃತ ದೂರದ ಗುರುತನ್ನು ಪ್ರಮಾಣಪತ್ರಕ್ಕೆ ಮತ್ತು ಅದರ ನಂತರದ ನೀತಿಗೆ ಬಿಗಿಯುತ್ತದೆ. RouterOS v7 ನಲ್ಲಿ ಈ ಜೋಡಿಯನ್ನು IPsec ಪೀರ್ ಮತ್ತು ಗುರುತಿನ ನಮೂದುಗಳ ಮೂಲಕ ವ್ಯಕ್ತಪಡಿಸಲಾಗುತ್ತದೆ, ಉದಾಹರಣೆಗೆ auth-method=digital-signature ಹೊಂದಿರುವ IKEv2 ಪೀರ್. ಹಳೆಯ ಆವೃತ್ತಿಗೆ ಬರೆದ ಮಾರ್ಗದರ್ಶಿಯಲ್ಲ, ನಿಮ್ಮ ಸ್ಥಾಪಿತ ಆವೃತ್ತಿಯ ನಿಜವಾದ ಮೆನು ವಿಷಯವನ್ನು ಪರಿಶೀಲಿಸಿ.
ಇಲ್ಲಿಯೇ ಅಸಾಮರಸ್ಯವನ್ನು ಸರಿಪಡಿಸುವುದು ಅಗ್ಗವಾದದ್ದು, ಏಕೆಂದರೆ ಗೇಟ್ವೇ ನಿಮಗೆ ಸ್ವೀಕರಿಸಿದ ಮತ್ತು ಬಯಸಿದ ಗುರುತು ಎರಡನ್ನೂ ಹೇಳಬಲ್ಲದು. ದೋಷವನ್ನು ಸದ್ದಿಲ್ಲದಂತೆ ಮಾಡಲು ಸ್ವೀಕೃತ ಗುರುತನ್ನು ವಿಸ್ತರಿಸುವುದು ನಿಯೋಜನೆಗೆ ಅರ್ಥ ನೀಡಿದ ಬಂಧವನ್ನು ತೆಗೆದುಹಾಕುತ್ತದೆ.
ಏನನ್ನೂ ಸಂಪಾದಿಸುವ ಮೊದಲು ಯಾವ ಹಂತ ವಿಫಲವಾಯಿತು ಎಂದು ಪರಿಶೀಲಿಸಿ
ಪ್ರಯತ್ನವನ್ನು ಎರಡೂ ತುದಿಗಳಲ್ಲಿ ಓದಿ ಮತ್ತು ಪ್ರಸ್ತಾವನೆಯನ್ನು ಬದಲಿಸುವ ಮೊದಲು ಅದನ್ನು ವರ್ಗೀಕರಿಸಿ. ಪ್ರಸ್ತಾವನೆಯ ಅಸಾಮರಸ್ಯ, ಕಾಣೆಯಾದ ಸಹಿ ಕೀಲಿ, ಅವಿಶ್ವಾಸಾರ್ಹ ನೀಡುವವರು, ತಪ್ಪು ಪೀರ್ ಗುರುತಿಸುವಿಕೆ ಮತ್ತು ತಿರಸ್ಕೃತ ಕ್ಲೈಂಟ್ ಅಧಿಕೃತೀಕರಣ ಎಲ್ಲವೂ ಫೋನಿನಿಂದ ಸತ್ತ ಸುರಂಗದಂತೆ ಕಾಣುತ್ತವೆ, ಮತ್ತು ಪ್ರತಿಯೊಂದಕ್ಕೂ ಬೇರೆ ಮಾಲೀಕರಿದ್ದಾರೆ. ಐದೂ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಒಟ್ಟಿಗೆ ಬದಲಿಸುವುದು ಫಲಿತಾಂಶದಿಂದ ನೀವು ಏನನ್ನೂ ಕಲಿಯದಿರುವುದನ್ನು ಖಾತರಿಪಡಿಸುತ್ತದೆ.
ಪ್ರಸ್ತುತಪಡಿಸಿದ ಗುರುತು, ನಿರೀಕ್ಷಿತ ಗುರುತು, ಪ್ರಮಾಣಪತ್ರದ ನೀಡುವವರು ಮತ್ತು ಕ್ರಮ ಸಂಖ್ಯೆ ಮತ್ತು ಸಂಬಂಧಿತ ನೀತಿಯ ಹೆಸರನ್ನು ದಾಖಲಿಸಿ, ಖಾಸಗಿ ಕೀಲಿಗಳು ಮತ್ತು ಪ್ರೊಫೈಲ್ ರಹಸ್ಯಗಳನ್ನು ಆ ದಾಖಲೆಯಿಂದ ಹೊರಗೆ ಇರಿಸಿ. ದೃಢೀಕರಣ ಯಶಸ್ವಿಯಾದ ನಂತರ, ಖಾಸಗಿ ಸೇವೆ ಮತ್ತು ಅದರ ಪ್ರತಿಕ್ರಿಯೆಯನ್ನು ಪರೀಕ್ಷಿಸಿ, ಏಕೆಂದರೆ IKE ವಿನಿಮಯ ಮುಗಿದ ನಂತರವೂ ವಿಳಾಸ ಹಂಚಿಕೆ, ಆಯ್ಕೆಕಾರರು, DNS ಮತ್ತು ಪ್ರವೇಶ ನೀತಿ ಕೆಲಸ ಮಾಡಬೇಕು.