IKEv2 сертификатынын SAN: идентификация текшерүү эмне үчүн ийгиликсиз болот

Сертификатыңыз ишенимдүү CAга чынжырча менен байланган, даталары жайында, бирок теңдеш тарап идентификация катасы менен 1-баскычты бүтүрүүдөн дагы эле баш тартат. Жеткиликтүүлүк жана жарактуу кол тамга IKEv2 кардары текшере тургандын жарымы гана. Калган жарымы ал күткөн идентификация сертификатта туура талаада көрүнөбү, жана бул күтүүнү профиль белгилейт, сертификаттын файл аты эмес.

Симптом ар дайым бирдей формада болот

Байланыш профили хост атынан IP дарегине өзгөртүлөт, же DNS атын алып жүргөн сертификаттан бир гана даректерди алып жүргөн сертификатка жаңыртылат, жанатуннель сүйлөшүүнү токтотот. Тармак жолунда эч нерсе өзгөргөн жок. Кардар теңдеш тарапка жетет, сертификат алат жана теңдеш тараптын идентификациясын четке кагат, анткени ага күтүү айтылган идентификатор өзү кабыл алган талаада көрсөтүлгөн эмес. Жаңыртуулар адаттагы себеп, анткени алмаштыруучу сертификат көбүнчө өзү алмаштыргандан башка үлгүдөн келет.

Андан кийин эки тарап тең пайдасыз нерсе жазышат, ошондуктан бузулуу адатта сертификат көйгөйү катары билдирилет. Кардар журналы каалаган идентификацияны аташы мүмкүн, жана ошол ат сизге керек белги, мөөнөтүнүн бүтүү күнү эмес.

Идентификатордун түрүн дал келтириңиз, маанисин гана эмес

dNSName SAN жана iPAddress SAN ар башка дал келтирүү эрежелери бар ар башка талаалар, ошондуктан 203.0.113.10ду DNS сабы катары алып жүргөн сертификат IP идентификациясын күткөн кардарды канааттандырбайт. Заманбап текшерүүчүлөр жалпы атты көбүнчө эсепке албайт, ошондуктан сертификаттын чоо-жайындагы достук белги эмне дал келерин далилдебейт. Эгер көйгөйдү чечүү учурунда хост аты дарек менен алмаштырылса, текшергенге чейин күтүлгөн идентификация да аны менен бирге жылды деп эсептеңиз. Профилдеги сапты SANдагы сап менен белги-белги салыштырыңыз, анткени аягындагы чекит же ашыкча боштук жетиштүү.

Алмаштыруучу белгилер DNS үчүн гана ыңгайлуулук жана өздөрүнүн дал келтирүү эрежелерине багынат, бул IP негизиндеги профиль эч качан аларга таянбашы керек экендигинин дагы бир себеби.

Ар бир кардар күтүүнү кайда сактаарын табыңыз

strongSwanда сертификат менен салыштырылуучу маани теңдеш тараптын идентификация жөндөөсүнөн келет: rightid классикалык конфигурацияда, же id swanctlдагы алыскы байланыш бөлүмүнүн id маанисинен. Анын Apple IKEv2 өз ара шайкештиги тууралуу документтери бул жерде пайдалуу, анткени профилдик башкарылуучу кардар колдонгон идентификация конвенцияларын түшүндүрөт, жана бул конвенциялар тармакта кокустан көрүнгөн дал келбестиктердин классын түшүндүрөт.

Apple конфигурация профилдери алыскы идентификатор талаасын алып жүрөт, жана ошол жердеги маанини кардар текшерет, байланыш жөндөөлөрүндөгү сервер дарегин эмес. Windows жана аппараттык кардарлардын ар биринин өз талаасы жана өз демейкиси бар, жана демейки көбүнчө сиз киргизген дарекке ээрчийт. Эки талаа кайчы келгенде, кардар чындап окуганы жеңет, жана ал сиз оңдогон талаа сейрек болот.

Профилди же сертификатты атайын оңдоңуз

Бир нерсени өзгөртүүдөн мурун теңдеш тараптын сертификатын бекитилген куралдар менен текшерип, SAN жазууларын түрлөрү менен тизмелеңиз. Бул текшерүү жеке ачкычты да, жүктөөнү да талап кылбайт жана маселени бир нече секундда чечет. Эгер жайылтуу бир DNS идентификациясын көздөсө, сертификат аны dNSName жазуусу катары алып жүрүшү керек, ал эми жайылтуу даректи көздөсө, сертификатка дал ошол дарек үчүн iPAddress жазуусу керек.

Сертификат туура эмес болсо, оператордон так күтүлгөн идентификаторду көрсөтүп, оңдолгонун сураңыз. Профиль туура эмес болсо, профилди оңдоп, сертификатты тынч калтырыңыз. Идентификацияны текшерүүнү өчүрүү катаны жок кылат жана туннелдин сиз көздөгөн теңдеш тарап менен сүйлөшүп жатканын текшерүүнү алып салат.

Күтүлгөн идентификацияны ар бир кардар платформасы үчүн документтештириңиз, анткени бир кардар автоматтык түрдө чыгарган маани экинчисинде ачык көрсөтүлүшү мүмкүн.

Жаңыртуу сурамына төрт факты бериңиз

Күтүлгөн идентификаторду жана анын түрүн, учурдагы сертификатта чындап бар SAN жазууларын, текшерүүнү аткарган кардарды жана версияны, жана катанын так текстин жазып алыңыз. Ушул төрт саптан курулган жаңыртуу сурамы биринчи жолу эле туура сертификатты алат, ошол эле тааныш файл аты бар башка сертификатты эмес.