IKEv2 сервердин дареги жана идентификация: кардар чындыгында эмнени текшерет

Даректи өзгөрткөн шлюз ишин уланта берет, ал эми ошол эле шлюз жаңы сертификаттын артында токтоп, тескерисинче болот. Дарек кардар пакеттерди кайда жөнөтүү керек экенин айтат; аутентификацияланган инсандык кардарга жооп берген теңтуш ишениши керекпи же жокпу, айтып берет. IKEv2 аларды эки өзүнчө талаа катары сактайт, бул аларды бир сап катары кароону токтоткондон кийин пайдалуу. Алар ошондой эле ар кандай жерлерде конфигурацияланган, ошондуктан бири туура, экинчиси туура эмес болушу мүмкүн.

Аларды ушул тартипте текшерип, биринчи дал келбеген учурда токтоңуз, анткени кийинки текшерүүлөр мурункулар өткөнүн болжолдойт.

Биринчиден, кайсы маани дареги

Туташуу дареги кардар эмнени гана терсе, ошол болот: IP, бирине чечилүүчү DNS аталышы же жүктөм тең салмакталган алдыңкы чек. Бул транспорттук маалымат жана башка эч нерсе эмес. Идентификация IKEv2 ID пайдалуу жүгү менен жүрөт жана андан кийин теңдештин сертификатына дал келет. Дарек кутучасындагы DNS аталышы күтүлгөн идентификация болбойт, ал эми чийки IP розетка ага туташкандыктан эле идентификация болуп калбайт.

strongSwan терминдеринде, дарек right же left жана күтүлгөн идентификация rightid же leftid болуп саналат жана IKEv2 конфигурация документациясында сүрөттөлөт. Эгер сиз даректи бир гана жолу оңдогон болсоңуз, анда сиз жуптун жарымын конфигурациялагансыз.

Экинчиден, күбөлүк эмнени далилдей алат

Идентификациянын түрү бар жана сертификатта дал келген аталыш болушу керек. DNS идентификациясы предметтин альтернативдик аталышынын кеңейтилишиндеги dNSName жазуусу менен канааттандырылат; IP идентификациясына iPAddress кириш керек. vpn.example.com үчүн берилген күбөлүк 203.0.113.10 түзмө-түз дареги жөнүндө эч нерсени далилдебейт, ал эми ошол дарек үчүн берилген сертификат ат жөнүндө эч нерсе далилдебейт. Демек, бир эле ачкыч жана CA кайра колдонулса дагы, башка ат үчүн кайра чыгаруу, ачылуучу алмаштыруу болуп саналбайт.

Заманбап кардарлар предметтин альтернативалуу аталышы болгондо жалпы аталышты этибарга алышпайт жана көптөр аны таптакыр этибарга алышпайт. Эгер SAN тизмеси кардар текшерген маанини камтыбаса, кол алышуу тастыктама ишенимдүү деп кабыл алынгандан кийин ишке ашпай калат, ошондуктан журнал ишеним катасы эмес, аныктыгын аныктоо катасы катары окулат.

Үчүнчүдөн, ар бир кардар күтүүнү кандайча айтат

Windows сиз терген сервердин атын же дарегин алат жана ага дал келүү үчүн сертификат талап кылынат, андыктан IP терүү IP күтүүсүн жаратат. Android'нин IKEv2 кардары өзүн бирдей алып жүрөт жана экөө тең башка хостту атаган жарактуу, жалпыга ишенимдүү тастыктаманы четке кагат. Профиль көчүрүү учурунда кимдир бирөө хосттун аталышын анын дареги менен алмаштырып койгондуктан эле иштебей калышы мүмкүн. Сертификатта эмне бар экенин карап чыгуудан мурун, кардар эмне сураганын караңыз.

strongSwan боюнча күтүү ачык: rightid сервер чындыгында көрсөткөн идентификацияга коюңуз, ал оңдон айырмаланышы мүмкүн. Аны %any деп коюу теңтуш сунуштаган нерселердин бардыгын кабыл алат жана сиз сактоого аракет кылып жаткан чекти алып салат.

Төртүнчүдөн, колдонуучу логинди теңтуш иденттүүлүгүнөн бөлүңүз

EAP аутентификациясы жана сервердин идентификациясы ар кандай суроолорго жооп берет. [email protected] сыяктуу EAP идентификациясы кардар сервер туура деп чечкенден кийин, колдонуучунун ким экенин айтат. Бул сырсөздү айландыруу теңтуш иденттүүлүгүнүн дал келбегендигин оңдоого болбойт, анткени байланыш эч качан колдонуучунун кирүү баскычына жетпейт.

Тазаланган отчетто экөөнүн тең аталышы болушу керек: кардар күткөн идентификация, сервер көрсөткөн идентификация жана сертификаттын SAN жазуулары.

Бешинчиден, аны текшерилген канал аркылуу өзгөртүү

Шлюз мыйзамдуу жылыганда, адегенде даректи жаңыртыңыз жана идентификацияны жалгыз калтырыңыз, анткени бул IKEv2 жакшы иштетет. Идентификациянын өзү өзгөргөндө, аны ишеним окуясы катары карап, жаңы маанини учурда иштебей жаткан акыркы чекиттен эмес, буга чейин ишенген булактан алыңыз. Сиз ырастоого аракет кылып жаткан байланыш аркылуу жеткирилген билдирүү бул байланыштын далили эмес.

Акыркы даректи, идентификацияны жана SAN тизмени профиль жазууларына чогуу жазыңыз. Сертификатка тийген кийинки адам үчөөнүн кайсынысы жылып кетүүгө уруксат берилгенин көрөт.