IKE идентификатору же акыркы чекиттин дареги: аларды аралаштырбаңыз
FQDN түрүндөгү IKE идентификатору — бул сөзмө-сөз аутентификация мааниси, тескери DNS издөө эмес. Акыркы чекиттин дарегин, жергиликтүү идентификаторду жана күтүлгөн peer-ди өзүнчө кармаңыз.
FQDN идентификатору деп белгиленген талааны сөзмө-сөз сап катары окуңуз, өзүңүздүн ачык дарегиңиздин тескери DNS атын суроо катары эмес. strongSwan талдоочусунда бул дал ошол, сап, жана аны окуу аны эч качан акыркы чекитке чечпейт. Ушул фактынын өзү peer үчүн идентификаторлорду тандоодо эң кеңири тараган алаксытууну жок кылат. Төмөнкү текшерүүлөр катышкан үч маанинин биригишине жол бербейт.
Белги — издөө эмес
Өндүрүүчүлөрдүн интерфейстери FQDN жана hostname сыяктуу сөздөрдү эркин колдонот, ал эми кутучадагы белги анын артындагы коддоо жөнүндө эч нерсе айтпайт. Талааны Client FQDN деп атаган түзмөк FQDN, электрондук почта формасындагы сап же жылаңач дарек жибере алат. Текстти жана түрдү эки өзүнчө чечим катары карап, экөөнү тең жазып алыңыз.
Сөзмө-сөз идентификатордо эч нерсе DNS талап кылбайт. Бул каршы тарап текшере турган ырастоо, тармак чечүүгө тийиш болгон ат эмес.
Үч өзүнчө маани, өзүнчө жазылган
Бир конфигурация экранынын артында үч иш турат, жана аларды бириктирүү кымбат ката. Бир маани — пакеттердин кайда кетерин аныктаган акыркы чекиттин дареги. Экинчиси — бул peer көрсөткөн жергиликтүү идентификатор, үчүнчүсү — аны аутентификациялоого чейин алыс тараптан күткөн идентификатор. Аларды өзгөртүү билетинде үч сап кылып жазыңыз, анткени андан азы VPN-ди сүрөттөйт, мамилени эмес.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Үлгү идентификаторлорду жайылтуунун бөлүгү катары тандоо жана авторизациялоо керек. Алар аутентификация текшере турган ырастоолор, каалаган peer-ди ишенимдүү кыла турган каттоо маалыматтары эмес, ошондуктан ишенимдүү көрүнгөн сап эч нерсени авторизациялабайт.
Түр — маанинин бөлүгү
strongSwan идентификатор аныктоочусу FQDN, электрондук почта формасындагы маанилерди, IP даректерди жана башка коддоолорду ажыратат, ошондуктан коддоо белгилер сыяктуу эле маанилүү. Эки түзмөк бирдей текстти ар кандай түрлөрдө кабыл алып, бири-биринен баш тартышы мүмкүн. Маанини түрү жок жазуучу жазуу — конфигурациянын жарымы.
Түзмөк чындыгында кайсы түрдү жиберерин өндүрүүчүдөн сураңыз жана аны интерфейс белгиси менен эмес, декоддоо менен ырастаңыз. Болжолдонгон түр — кийинки өзгөртүүнү күткөн дал келбестик.
Ар бир тарап экинчисин канааттандырууга тийиш
Ар бир тараптын жергиликтүү идентификатору экинчи тараптын аутентификация саясатынан өтүшү керек. Бул эки түзмөктөгү ар бир идентификатор кутучасына бир сапты жабыштыруу эмес, ал — эч ким оңдой албаган конфигурацияны жараткан кыска жол.
Сертификат менен аутентификациялоо өз талаптарын кошот, анткени сертификаттын идентификатору жана ишеним шарттары сиз терген IKE идентификаторунун жанында турат. Жалгыз IKE идентификаторунун дал келиши сертификаттуу peer-ди авторизациялабайт.
DNS кайда маанилүү жана сиздин версияңыз эмнени талап кылат
Ачуу үчүн колдонулган шлюз hostname-и чын эле иштеген DNS-ти талап кылат, жана бул талап акыркы чекитти табууга таандык, тергиленген идентификатордун кандайдыр бир тескери издөөсүнө эмес. Билетте экөөнү өзүнчө кармаңыз, анткени ачуу ийгиликсиздиги жана идентификатор дал келбестиги клиент журналында окшош окулат жана ар кандай жерлерде оңдолот.
Түрдү талап кылган синтаксисти көчүрүүдөн мурун иш жүзүндө иштетип жаткан продукт менен версиянын талдоочусун окуңуз, анткени strongSwan-дын эски чыгарылыштары башкача жүрүм көрсөткөн жана башка өндүрүүчүлөр өз чектөөлөрүн кошет. Эки четти салыштырганда төрт нерсени чогуу кармаңыз: күтүлгөн идентификатор, көрсөтүлгөн идентификатор, түр жана аутентификация катасы. Бул топтом дал келбестикти пикир эмес, далилге айландырат.