IKEv2 서버 주소 vs 신원: 클라이언트가 실제로 확인하는 것

주소를 변경하는 게이트웨이는 새 인증서 뒤에 있는 동일한 게이트웨이가 중지되는 동안 계속 작동할 수 있으며 그 반대의 경우도 발생합니다. 주소는 클라이언트에게 패킷을 보낼 위치를 알려줍니다, 인증된 신원은 피어 응답이 신뢰해야 하는 것인지 여부를 클라이언트에게 알려줍니다. IKEv2 이를 두 개의 개별 필드로 유지하므로 이를 하나의 문자열로 처리하지 않으면 유용합니다. 또한 서로 다른 위치에 구성되어 있으므로 하나는 맞고 다른 하나는 틀릴 수 있습니다.

이 순서대로 확인하고 첫 번째 불일치에서 중지하십시오, 이후 확인에서는 이전 확인이 통과된 것으로 가정하기 때문입니다.

먼저, 어떤 값이 주소인지

연결 주소는 IP, IP로 확인되는 DNS 이름 또는 부하 분산된 프런트 엔드 등 클라이언트가 다이얼하는 모든 것입니다. 그것은 교통 정보일 뿐이고 그 이상은 아닙니다. ID는 IKEv2 ID 페이로드에 포함된 다음 피어의 인증서와 일치됩니다. 주소창에 있는 DNS 이름은 예상한 ID가 되지 않으며, 원시 IP는 소켓이 연결되어 있다고 해서 ID가 되지 않습니다.

strongSwan 용어에서 주소는 right 또는 left이고 예상되는 ID는 rightid 또는 leftid이며 이는 IKEv2 구성 문서에 설명되어 있습니다. 주소를 편집한 적이 있다면 쌍의 절반을 구성한 것입니다.

둘째, 인증서가 증명할 수 있는 것

ID에는 유형이 있으며 인증서에는 일치하는 이름이 있어야 합니다. DNS 신원은 주체 대체 이름 확장의 dNSName 항목으로 충족됩니다, IP ID에는 iPAddress 항목이 필요합니다. vpn.example,com에 대해 발급된 인증서는 문자 주소 203.0.113.10에 대해 아무것도 증명하지 않으며, 해당 주소에 대해 발급된 인증서는 이름에 대해 아무것도 증명하지 않습니다. 따라서 동일한 키와 CA을 재사용하더라도 다른 이름으로 재발급하는 것은 즉시 교체가 아닙니다.

최신 클라이언트는 주체 대체 이름이 존재할 때 일반 이름을 무시하며 많은 클라이언트는 이를 완전히 무시합니다. SAN 목록에 클라이언트가 확인하는 값이 포함되어 있지 않은 경우 인증서가 이미 신뢰할 수 있는 것으로 승인된 후에 핸드셰이크가 실패합니다, 따라서 로그는 신뢰 오류가 아닌 ID 오류처럼 읽혀집니다.

셋째, 각 고객이 기대하는 바를 어떻게 표현하는가

Windows은 사용자가 입력한 서버 이름이나 주소를 사용하고 이에 일치하는 인증서가 필요하므로 IP를 입력하면 IP 기대치가 생성됩니다. Android의 IKEv2 클라이언트는 동일한 방식으로 동작하며 둘 다 다른 호스트 이름을 지정하는 유효하고 공개적으로 신뢰할 수 있는 인증서를 거부합니다. 마이그레이션 중에 누군가가 호스트 이름을 해당 주소로 바꾸었기 때문에 프로필이 실패하기 시작할 수 있습니다. 인증서에 포함된 내용을 보기 전에 클라이언트가 요청한 내용을 살펴보십시오.

strongSwan에서는 기대가 명확합니다, rightid를 서버가 실제로 제공하는 ID로 설정합니다, 이는 오른쪽과 다를 수 있습니다. %any로 설정하면 피어가 제공하는 모든 것을 수락하고 유지하려는 검사를 정확하게 제거합니다.

넷째, 피어 ID와 사용자 로그인을 분리합니다

EAP 인증과 서버 ID는 서로 다른 질문에 대답합니다. [email protected]과 같은 EAP 신원은 클라이언트가 서버가 올바른 서버라고 결정한 후 사용자가 누구인지 알려줍니다. 연결이 사용자 로그인 단계에 도달하지 않기 때문에 해당 비밀번호를 교체해도 피어 ID 불일치를 해결할 수 없습니다.

정리된 보고서에는 클라이언트가 예상한 ID, 서버가 제시한 ID, 인증서의 SAN 항목이 모두 명시되어야 합니다.

다섯째, 검증된 채널을 통해 변경하세요

게이트웨이가 합법적으로 이동하면 먼저 주소를 업데이트하고 ID는 그대로 두십시오, 그러면 IKEv2이 잘 처리됩니다. ID 자체가 변경되면 이를 신뢰 이벤트로 처리하고 현재 실패한 엔드포인트가 아닌 이미 신뢰하는 소스에서 새 값을 가져옵니다. 유효성을 검사하려는 연결을 통해 전달된 메시지는 해당 연결에 대한 증거가 아닙니다.

프로필 메모에는 최종 주소, 신원, SAN 목록을 함께 기록해 주세요. 인증서를 만지는 다음 사람이 세 사람 중 어느 사람이 이동할 수 있는지 확인할 수 있습니다.