strongSwan EAP: IKE ಗುರುತು ಮತ್ತು ನಿರೀಕ್ಷಿತ AAA ಹೆಸರು

strongSwan EAP ಕ್ಲೈಂಟ್ ಎರಡು ಸರ್ವರ್ ಹೆಸರುಗಳನ್ನು ಪರಿಶೀಲಿಸಬಹುದು. remote.id IKE ಗೇಟ್‌ವೇಯನ್ನು ಮತ್ತು local.aaa_id EAP ಸರ್ವರ್ ಅನ್ನು ಒಳಗೊಳ್ಳುತ್ತದೆ; ಇವು ಒಂದೇ ಕ್ಷೇತ್ರವಲ್ಲ.

IKEv2 ಮೇಲೆ EAP ದೃಢೀಕರಣವು ಒಂದೇ ಸಂಪರ್ಕದಲ್ಲಿ ಎರಡು ವಿಭಿನ್ನ ಸರ್ವರ್ ಹೆಸರುಗಳನ್ನು ಪರಿಶೀಲಿಸುವಂತೆ ಕ್ಲೈಂಟ್‌ಗೆ ಕೇಳಬಹುದು. IKE ಅನ್ನು ಮುಗಿಸುವ ಗೇಟ್‌ವೇ ಒಂದು ಗುರುತನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಒಳಗಿನ TLS ವಿನಿಮಯವನ್ನು ಮುಗಿಸುವ EAP ಹಿನ್ನೆಲೆ ಇನ್ನೊಂದನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಬಹುದು. strongSwan ನಲ್ಲಿ ಇವು ಬೇರೆ ಬೇರೆ ಸಂರಚನಾ ಬ್ಲಾಕ್‌ಗಳಲ್ಲಿ ಇರುತ್ತವೆ, ಮತ್ತು ತಪ್ಪು ಬ್ಲಾಕ್‌ನಲ್ಲಿ ಹೆಸರಿಟ್ಟರೆ ಪ್ರಮಾಣಪತ್ರದ ಸಮಸ್ಯೆಯಂತೆ ಕಾಣುವ ವೈಫಲ್ಯ ಉಂಟಾಗುತ್ತದೆ. ಯಾವ ಪರಿಶೀಲನೆ ವಿಫಲವಾಯಿತು ಎಂದು ಓದುವುದೇ ಯಾವ ಬ್ಲಾಕ್ ಸಂಪಾದಿಸಬೇಕೆಂದು ಹೇಳುತ್ತದೆ.

ಒಂದು ಸಂಪರ್ಕ, ಎರಡು ಸರ್ವರ್ ಗುರುತುಗಳು

ಮೊದಲ ಗುರುತು IKE ವಿನಿಮಯಕ್ಕೆ ಸೇರಿದೆ. ಕ್ಲೈಂಟ್ ಒಂದು ವಿಳಾಸಕ್ಕೆ ಕರೆ ಮಾಡುತ್ತದೆ ಮತ್ತು ಎದುರಾಳಿ ನಿರ್ದಿಷ್ಟ ಗುರುತನ್ನು, ಸಾಮಾನ್ಯವಾಗಿ ಗೇಟ್‌ವೇ ಪ್ರಮಾಣಪತ್ರದಲ್ಲಿನ ಹೆಸರನ್ನು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ ಎಂದು ನಿರೀಕ್ಷಿಸುತ್ತದೆ.

ಎರಡನೆಯದು EAP ಗೆ ಸೇರಿದೆ. PEAP ಅಥವಾ TTLS ಜೊತೆಗೆ, ಕ್ಲೈಂಟ್ IKE SA ಒಳಗೆ ದೃಢೀಕರಣ ಸರ್ವರ್‌ಗೆ TLS ಸುರಂಗವನ್ನು ನಿರ್ಮಿಸುತ್ತದೆ, ಮತ್ತು ಆ ಒಳಗಿನ ಸರ್ವರ್ ತನ್ನದೇ ಪ್ರಮಾಣಪತ್ರವನ್ನು ಪ್ರಸ್ತುತಪಡಿಸುತ್ತದೆ. ಹಿನ್ನೆಲೆ ಪ್ರತ್ಯೇಕ ಹೋಸ್ಟ್ ಆಗಿದ್ದರೆ, ಅದರ ಹೆಸರು ಗೇಟ್‌ವೇಯ ಹೆಸರಿಗಿಂತ ಭಿನ್ನವಾಗಿರುತ್ತದೆ. ಮೊದಲ ಹೆಸರನ್ನು ಮಾತ್ರ ಪರಿಶೀಲಿಸುವ ಕ್ಲೈಂಟ್ ಎರಡನೆಯದು ಹೇಳುವುದನ್ನು ಒಪ್ಪಿಕೊಳ್ಳುತ್ತದೆ. ಮತ್ತು ಎರಡೂ ಸ್ಥಳಗಳಲ್ಲಿ ಒಂದೇ ಹೆಸರಿನಿಂದ ಸಂರಚಿಸಲಾದ ಕ್ಲೈಂಟ್ ಆ ಎರಡು ನಿಜವಾಗಿ ಭಿನ್ನವಾದ ಕ್ಷಣದಲ್ಲಿ ವಿಫಲವಾಗುತ್ತದೆ.

ಎರಡೂ ಹೆಸರುಗಳು ಆಪರೇಟರ್‌ನ ಸಂರಚನೆಯಿಂದ ಬರುತ್ತವೆ, ದೋಷವನ್ನು ನಿವಾರಿಸುವ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಅಲ್ಲ. ಆಪರೇಟರ್‌ನನ್ನು ನಿಯೋಜನೆಯ ವಿವರಗಳನ್ನು ಕೇಳುವುದು ಎರಡು ಹೋಸ್ಟ್ ಹೆಸರುಗಳನ್ನು ಊಹಿಸುವುದಕ್ಕಿಂತ ವೇಗವಾಗಿದೆ.

ಯಾವ ಕ್ಷೇತ್ರ ಯಾವ ಪದರಕ್ಕೆ ಸೇರಿದೆ

swanctl ನಲ್ಲಿ ವಿಳಾಸ ಮತ್ತು IKE ಗುರುತು ಪ್ರತ್ಯೇಕ ಸೆಟ್ಟಿಂಗ್‌ಗಳು, ಮತ್ತು EAP ಗುರುತು ಮೂರನೆಯದು.

ದೂರದ ವಿಳಾಸ ಪ್ಯಾಕೆಟ್‌ಗಳು ಎಲ್ಲಿಗೆ ಹೋಗುತ್ತವೆ ಎಂದು ಆಯ್ಕೆ ಮಾಡುತ್ತದೆ, ಮತ್ತು ದೂರದ ಗುರುತು ಎದುರಾಳಿ ಏನನ್ನು ಸಾಬೀತುಪಡಿಸಬೇಕೆಂದು ಹೇಳುತ್ತದೆ. EAP ನಿರೀಕ್ಷೆಯನ್ನು local ಬ್ಲಾಕ್ ಅಡಿಯಲ್ಲಿ ಬರೆಯಲಾಗುತ್ತದೆ, ಏಕೆಂದರೆ ಅದು ಎದುರಾಳಿಯ IKE ವರ್ತನೆಯನ್ನಲ್ಲ, ಈ ಕ್ಲೈಂಟ್‌ನ EAP ವಿನಿಮಯವನ್ನು ವಿವರಿಸುತ್ತದೆ. ಈ ನಿಯೋಜನೆಯನ್ನೇ ಜನರು ತಪ್ಪಾಗಿ ಓದುತ್ತಾರೆ. ಹೆಸರು ಸರ್ವರ್ ಅನ್ನು ವಿವರಿಸುತ್ತಿದ್ದರೂ ಕ್ಲೈಂಟ್‌ನ ಸಂರಚನೆಯಲ್ಲಿ ನಿಂತಿದೆ, ಮತ್ತು ಅದಕ್ಕೇ ಅದು ತಪ್ಪು ಸ್ಥಳದಲ್ಲಿರುವಂತೆ ಕಾಣುತ್ತದೆ.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

ಈ ತುಣುಕು ಪೂರ್ಣ ಸಂಪರ್ಕವಲ್ಲ; ನಂಬಿಕೆಯ ಸಾಮಗ್ರಿ, ರುಜುವಾತುಗಳು ಮತ್ತು ಉಪ ಸಂಪರ್ಕಗಳ ನೀತಿಗಳು ಇನ್ನೂ ಇರಬೇಕು. ಅದನ್ನು ಅಕ್ಷರಶಃ ಕಾರ್ಯನಿರ್ವಹಿಸುವ ಕಡತಕ್ಕೆ ನಕಲಿಸುವುದು ನಿಮಗೆ ಇನ್ನೂ ಬೇಕಾದ ಸೆಟ್ಟಿಂಗ್‌ಗಳನ್ನು ಬದಲಾಯಿಸುತ್ತದೆ.

aaa_id local ಅಡಿಯಲ್ಲಿ ಏಕೆ ಇರುತ್ತದೆ

local ಬ್ಲಾಕ್ ದೃಢೀಕರಣದ ಸಮಯದಲ್ಲಿ ಈ ಬದಿ ಏನು ಮಾಡುತ್ತದೆ ಎಂದು ವಿವರಿಸುತ್ತದೆ, ಅದು ಬಳಸುವ ವಿಧಾನ ಮತ್ತು ಆ ವಿಧಾನಕ್ಕಾಗಿ ಇನ್ನೊಂದು ಬದಿಯಿಂದ ನಿರೀಕ್ಷಿಸುವ ಗುರುತು ಸೇರಿದಂತೆ. ಅದರಲ್ಲಿ AAA ಸರ್ವರ್ ಅದೇ ಯಂತ್ರದಲ್ಲಿ ಚಲಿಸುತ್ತದೆ ಎಂದು ಏನೂ ಹೇಳಿಲ್ಲ.

ಡೀಫಾಲ್ಟ್ ಮೌಲ್ಯ ಬಲೆಯನ್ನು ಇನ್ನಷ್ಟು ಹರಿತಗೊಳಿಸುತ್ತದೆ. ಸ್ಪಷ್ಟ ಮೌಲ್ಯವನ್ನು ಹೊಂದಿಸದಿದ್ದರೆ, ನಿರೀಕ್ಷಿತ AAA ಗುರುತು ದೂರದ ಗುರುತನ್ನು ಅನುಸರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಒಂದೇ ಹೆಸರಿನ ನಿಯೋಜನೆ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಮತ್ತು ವ್ಯತ್ಯಾಸವನ್ನು ಮುಚ್ಚಿಡುತ್ತದೆ. ಸ್ಪಷ್ಟ ಮೌಲ್ಯವು EAP ನಿಯೋಜನೆ ನಿಜವಾಗಿ ಬೇರೆಡೆ ಮುಗಿದಾಗ ಮಾತ್ರ ಮುಖ್ಯ. ಆ ಕಾರಣವಿಲ್ಲದೆ ಅದನ್ನು ಬೇರೆ ಹೆಸರಿಗೆ ಹೊಂದಿಸುವುದು ಆಪರೇಟರ್ ಮರುಸೃಷ್ಟಿಸಲಾಗದ ವೈಫಲ್ಯವನ್ನು ಉಂಟುಮಾಡುತ್ತದೆ. ಎರಡನೆಯ ಹೆಸರನ್ನು ಕಲ್ಪಿಸುವ ಮೊದಲು ನಿಯೋಜನೆಯನ್ನು ಓದಿ.

ಮೌಲ್ಯವನ್ನು ಹಿನ್ನೆಲೆ ಪ್ರಮಾಣಪತ್ರ ನಿಜವಾಗಿ ಹೇಳುವುದಕ್ಕೆ ಸಮಾನವಾಗಿ ಇರಿಸಿ, ಹೆಸರಿನ ರೂಪ ಸೇರಿದಂತೆ. ಕೊನೆಯಲ್ಲಿ ಚುಕ್ಕೆ ಅಥವಾ ಹೋಸ್ಟ್ ಅನ್ನು ಆವರಿಸದ ವೈಲ್ಡ್‌ಕಾರ್ಡ್ ಪರಿಶೀಲನೆ ವಿಫಲವಾಗಲು ಸಾಕು.

ವಿಭಜನೆಯನ್ನು ವ್ಯಕ್ತಪಡಿಸಲಾಗದ ಮುಂಭಾಗಗಳು

NetworkManager ಪ್ರೊಫೈಲ್ swanctl ನಂತೆಯೇ ಅದೇ ಸಂರಚನಾ ಇಂಟರ್ಫೇಸ್ ಅಲ್ಲ. ಅದರ ಹಿಂದಿನ ಪ್ಲಗಿನ್ ಕಿರಿದಾದ ಗುರುತು ನಿಯಂತ್ರಣಗಳ ಗುಂಪನ್ನು ಒದಗಿಸುತ್ತದೆ, ಮತ್ತು ಯಾವುವು ಇವೆ ಎಂಬುದು ಸ್ಥಾಪಿತ ಆವೃತ್ತಿಯನ್ನು ಅವಲಂಬಿಸಿದೆ.

ನಿಯೋಜನೆಗೆ ನಿಜವಾಗಿ ಎರಡು ಹೆಸರುಗಳು ಬೇಕಾದಾಗ ಇದು ಮುಖ್ಯ. ಸರ್ವರ್ ಗುರುತು ಎಂದು ಲೇಬಲ್ ಮಾಡಿದ ಕ್ಷೇತ್ರವು ಒಂದು ಪದರವನ್ನು ಸಂರಚಿಸಿ ಇನ್ನೊಂದನ್ನು ಸಂರಚಿಸದಿರಬಹುದು, ಆದ್ದರಿಂದ ಪ್ರೊಫೈಲ್ ಸರಿಯಾಗಿ ಕಾಣುತ್ತಿದ್ದರೂ ಒಳಗಿನ ಪರಿಶೀಲನೆಯಲ್ಲಿ ವಿಫಲವಾಗಬಹುದು. ಪ್ರೊಫೈಲ್ ಈ ವ್ಯವಸ್ಥೆಯನ್ನು ವ್ಯಕ್ತಪಡಿಸಬಲ್ಲದು ಎಂದು ಊಹಿಸುವ ಮೊದಲು ಸ್ಥಾಪಿತ ಪ್ಲಗಿನ್ ಏನನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ಅದು ಸಾಧ್ಯವಾಗದಿದ್ದರೆ, ಆಯ್ಕೆ ಆಪರೇಟರ್‌ಗೆ ಸೇರಿದೆ: ಬೇರೆ ಒದಗಿಸುವ ಮಾರ್ಗ, ಅಥವಾ ಸರಿಪಡಿಸಿದ ಸರ್ವರ್ ಗುರುತು ವಿನ್ಯಾಸ. PEAP ಅನ್ನು ದುರ್ಬಲಗೊಳಿಸುವುದು ಅಥವಾ ಯಾವುದೇ ಹೆಸರನ್ನು ಒಪ್ಪುವುದು ದೃಢೀಕರಣ ನೀತಿಯನ್ನು ಸರಿಪಡಿಸುವ ಬದಲು ಬದಲಾಯಿಸುತ್ತದೆ.

ಪರ್ಯಾಯವು ಕ್ಲೈಂಟ್‌ನಲ್ಲಿ ಕಲ್ಪಿಸುವ ವಿಷಯವಲ್ಲ. ಬೆಂಬಲಿತ ವ್ಯವಸ್ಥೆಯನ್ನು ಲಿಖಿತವಾಗಿ ಕೇಳಿ, ನಂತರ ಆ ಉತ್ತರವನ್ನು ಪ್ರೊಫೈಲ್ ಜೊತೆಗೆ ಇರಿಸಿ.

ಗುರುತಿನ ಹೊಂದಾಣಿಕೆಯನ್ನು ಅವಧಿ ಮುಗಿದ ಪ್ರಮಾಣಪತ್ರದಿಂದ ಪ್ರತ್ಯೇಕಿಸಿ

ಹೆಸರಿನ ಹೊಂದಾಣಿಕೆ ಮತ್ತು ಅವಧಿ ಮುಗಿದ ಪ್ರಮಾಣಪತ್ರ ವಿಭಿನ್ನ ವೈಫಲ್ಯಗಳು, ಮತ್ತು ಲಾಗ್ ಅವನ್ನು ಪ್ರತ್ಯೇಕಿಸುತ್ತದೆ. ಯಾವ ಕ್ಷೇತ್ರ ಬದಲಾಯಿಸಬೇಕೆಂದು ನಿರ್ಧರಿಸುವ ಮೊದಲು ಸಂದೇಶವನ್ನು ಓದಿ.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

ಉದ್ದೇಶಿಸಿದ AAA ಗುರುತನ್ನು ಹೊಂದಿಸುವುದು ಪ್ರಮಾಣಪತ್ರವನ್ನು ನವೀಕರಿಸುವುದಿಲ್ಲ ಅಥವಾ ಅದರ ನೀಡುವವರ ಮೇಲೆ ನಂಬಿಕೆಯನ್ನು ಸ್ಥಾಪಿಸುವುದಿಲ್ಲ, ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ನವೀಕರಣವು ತಪ್ಪಾದ ನಿರೀಕ್ಷಿತ ಹೆಸರನ್ನು ಸರಿಪಡಿಸುವುದಿಲ್ಲ. ಇನ್ನೊಂದು ಗುರುತಿನ ಕ್ಷೇತ್ರವನ್ನು ಸಂಪಾದಿಸುವ ಮೊದಲು ಯಾವ ಪರಿಶೀಲನೆ ವಿಫಲವಾಯಿತು ಎಂದು ಓದಿ. ನಂತರ ಸಂರಚನೆಯನ್ನು ಮತ್ತೆ ಲೋಡ್ ಮಾಡಿ ಮತ್ತು ಲೋಡ್ ಆದ ಸಂಪರ್ಕವು ನೀವು ಹೊಂದಿಸಿದ ಮೌಲ್ಯವನ್ನು ತೋರಿಸುತ್ತದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ, ಏಕೆಂದರೆ ಎಂದಿಗೂ ಲೋಡ್ ಆಗದ ಸಂಪಾದಿತ ಕಡತ ಏನನ್ನೂ ಬದಲಾಯಿಸುವುದಿಲ್ಲ. ಎರಡೂ ಹೆಸರುಗಳನ್ನು ಮತ್ತು ಅವುಗಳ ಪದರಗಳನ್ನು ನಿಯೋಜನಾ ಟಿಪ್ಪಣಿಗಳಲ್ಲಿ ಬರೆಯಿರಿ.

ಸಂಬಂಧಿತ ಲೇಖನಗಳು