EAP же кардар сертификаттары? IKEv2 аутентификациясын чечүү

Сиздин шлюз өз инсандыгын сертификат менен далилдей алат, ал эми сиздикин EAP аркылуу далилдейт, жана бул айкалыш карама-каршы эмес, кадимки көрүнүш. Эки механизм ар башка суроолорго жооп берет: бул акыркы чекит мен күткөн чекитпи, жана бул колдонуучуга же түзмөккө уруксат берилгенби. Профилде EAP көрүү серверди текшерүүнү өчүрбөйт. Профилди бир параметр катары окуу адамдарды туура эмес каттоо маалыматын кайра коюуга жиберет.

Эки объектинин бирине да тийбестен мурун кайсы талап ийгиликсиз болгонун аныктаңыз. Ийгиликсиздик этабы муну айтат, эгер тартиби менен окусаңыз.

Эки каттоо маалыматы, эки талап

Сервер сертификаты атты ачкычка байланыштырат, ал эми кардар бул байланышты өзүнүн ишеним кампасына каршы текшерет. Кардар сертификаты инсандыкты ачкычка байланыштырат, ал эми шлюз сунушталган сертификаттын өзү ишенген нерсеге чынжырланарын текшерет. EAP аутентификация алмашуусун алып жүрөт, анын мазмуну тандалган ыкмага көз каранды. Булар — ар башка жашоо цикли, ээлери жана ийгиликсиздик режимдери бар үч түзүлүш.

Жеке ачкычты ачкан сырсөз каттоо сырсөзү эмес, эки сурам бири-биринен секунд ичинде пайда болсо да. Бири түзмөктүн ачкыч кампасында жергиликтүү, экинчисин шлюздун артындагы аутентификация сервери текшерет.

EAP — контейнер, ыкма эмес

EAP — бул алкак: шлюз менен кардар ыкма тууралуу сүйлөшөт, ал эми ыкма сырсөздүн, токендин, туннелденген ички алмашуунун же сертификаттын катышканын чечет, strongSwan'дын IKEv2 документтештирүүсү айткандай. Ошондуктан EAP-TLS кардар тараптан EAP-MSCHAPv2ге такыр окшошпойт, экөө тең менюде EAP болуп көрүнсө да. Бир гана EAP деп көрсөткөн профиль колдонуучудан эмнени сураарын айткан жок.

Ыкманы жана backend'ди чогуу окуңуз. Backend каттоо форматын, кулпулоо жүрүм-турумун жана сырсөздү кайра коюу чындап эмнени өзгөртөрүн аныктайт, жана алардын эч бири кардар профилинде көрүнбөйт.

Аралаш жайгаштыруу кадимки

Колдонуучу үчүн сервер сертификаты кошулган EAP — алыскы кирүү шлюздарынын көбү колдонгон форма, анткени ал кардарга текшерилүүчү акыркы чекит, ал эми операторго борбордук каттоо кампасында ар бир колдонуучунун инсандыгын берет. Кардар сертификаттары менен жайгаштыруулар да бар, адатта түзмөктүн инсандыгы сырсөздөн маанилүүрөөк жерде. Экөө тең мыйзамдуу, жана ката — өткөн аптада көргөнүңүз алдыңызда турган нерсе деп эсептөө.

Кардардагы талаа аттарынан божомолдоонун ордуна оператордон документтелген ыкманы жана каттоо форматын сураңыз.

Ийгиликсиздик этабы боюнча чечим

Байкоолорду тартипке салыңыз. Каалаган колдонуучу сурамынан мурунку ишеним катасы — сервер сертификатынын маселеси, аны эч бир сырсөз оңдобойт. Сурамдан кийин баш тартуу келсе, бул колдонуучу аутентификациясынын маселеси, EAP ыкмасы жана backend шектүүлөр катары. Ийгиликтүү аутентификациядан кийин child-SA ийгиликсиздиги келсе, ал экөөнүн бири да эмес.

Дагы эки айырма маанилүү. Сервер сертификатынан баш тарткан кардар адатта аттын дал келбестиги же белгисиз орган тууралуу билдирет, бул ишеним кампасынын суроосу. Колдонуучудан баш тарткан шлюз көбүнчө EAP ыкмасын жана себеп категориясын жазат, бул каттоо же саясат суроосу.

Эки моделди башкаруу

Сертификаттарда иш — берүү, жаңыртуу, жокко чыгаруу жана жоголгон түзмөктөрдү алып салуу, жана ал сиз көзөмөлдөгөн график боюнча жүрөт. EAP'де иш — каттоонун жашоо цикли, ар бир кардар платформасында ыкмаларды колдоо жана backend талап кылган каалаган экинчи фактор. Эч бир модел абстракттуу түрдө арзан эмес; алар ар башка командаларды жүктөйт. Жайгаштырууңуз чындап кайсынын колдонорун жазып коюңуз, анткени колдоо скрипттери конфигурациядан көбүрөөк айырмаланат.

Аларды жазууларыңызда өзүнчө кармаңыз. Сертификаттын мөөнөтү бүтүшү белгилүү бир күнү ийгиликсиздик жаратат, каттоонун кулпуланышы сырсөз алмашкандан кийин ийгиликсиздик жаратат, ал эми ыкманын дал келбестиги бир гана платформада ийгиликсиздик жаратат.

Инсандык кабыл алынгандан кийин

Аутентификация — бир дарбаза. Child коопсуздук ассоциациясы, трафик селекторлору, DNS жана колдонмонун өз укуктары — кийинки дарбазалар, жана ар бири өз шарттары менен ийгиликсиз болот. Эч жерге жетпеген кабыл алынган инсандык аутентификация маселеси эмес.

Ыкманы, колдонулган каттоону же сертификатты жана ийгиликсиз болгон этапты жазыңыз. Бул жазуу кийинки окуяны эксперименттин ордуна издөөгө айландырат.