Бир IKEv2 кирүүсүндө эки инсан: адегенде машина, анан колдонуучу

Кардар сертификаты текшерилет, биринчи алмашуу аяктайт, анан кошумча аутентификация раунду тууралуу ката менен байланыш токтойт. Сертификат тизмегинде эч нерсе туура эмес жана тармакта эч нерсе өзгөргөн жок. Шлюз туташкан тараптан экинчи далилди талап кылууга конфигурацияланган, кардар болсо аны эч качан жөнөтпөйт. Ким эмнени жана кандай тартипте далилдей турганын чечүү — бүт милдет жана ал өзүңүз турган четтен саясатты окуудан башталат. Ар башка эки далилди белгиленген тартипте коюу — долбоорлоо чечими, тандоо кутучасы эмес.

Белгиси: ийгиликтүү биринчи далилден кийинки ийгиликсиздик

Биринчи алмашуу аяктайт жана журнал соо көрүнөт, шлюз EAP аркылуу колдонуучунун инсанын сураганга чейин. Ошондо кол алышуу токтойт же кошумча раундду атаган протокол катасын кайтарат. Толук жарактуу машина сертификаты өзүнүн жарактуулугуна эч катышы жок себептен улам четке кагылат. Саясат экинчи далилди талап кылган, ал эми кардардын жообу эч качан келген жок.

Бул ийгиликсиздиктин эки сүрөттөмөсү тең кайда турганыңызга жараша туура. Кардар тарабынан бул жарактуу сертификатты четке каккан серверге окшошот, сервер тарабынан кирүүнү бүтүрө албаган кардарга окшошот. Ошол эле окуя бир журналда ишеним маселеси, экинчисинде мүмкүнчүлүк маселеси катары окулат. Кайсынысы экенин конфигурацияланган саясат гана айтат.

Кеңейтүү эмнени кошот жана эмнени кошпойт

IKEv2 бир сессиянын ичинде бирден ашык аутентификация алмашуусун жүргүзүү үчүн кеңейтүүнү алып жүрөт. RFC 4739 башка ырааттуулуктар менен катар сертификат инсанын далилдеп, анан EAP аркылуу адамды аутентификациялаган кардарды сүрөттөйт. Документ Experimental статусунда, башкача айтканда эч бир ишке ашыруу сизге бул мүмкүнчүлүктү берүүгө милдеттүү эмес. Өнөктөш аны сүйлөшүп бүткөнгө чейин колдоо тууралуу эч нерсе болжолдобоңуз.

Эки тарап тең кеңейтүүнү колдошу жана алмашуу учурунда ага макул болушу керек. Экинчи раундга конфигурацияланган шлюз кардарды аны аткарууга мажбурлай албайт, ал эми аны колдогон кардар сервер сурабаса, аны колдонбойт. Ушул асимметрия ийгиликсиздиктин эмне үчүн адатта мүмкүнчүлүк тууралуу так билдирүүнүн ордуна тайм-аут же протокол катасы катары көрүнүшүнүн себеби. Бир тараптын конфигурациясын окуу сизге боло турган нерсенин жарымын айтат.

Ар бир четке бир далил — кадимки форма, жана бул ошол долбоор эмес. Шлюз өзүнүн сертификатын сунуштайт, колдонуучу EAP аркылуу жооп берет жана ар бир тарап экинчисин так бир жолу аутентификациялаган. Бул эки далил карама-каршы четтерден келет, ошондуктан экөө тең машина жана аны колдонгон адам тууралуу өзүнчө эч нерсе айтпайт.

EAP-TLS — үчүнчү форма жана ал да бул эмес. Ал жерде кардар сертификаты EAP ыкмасынын ичинде сунушталат, ошондуктан кардар баары бир бир IKE аутентификациясын аяктайт. Эсептик маалыматтар көп раунддуу учурга окшош көрүнүшү мүмкүн, ал эми протокол эки эмес, бир раунд алып жүрөт. Ошондуктан EAP-TLS орнотуусунан көчүрүлгөн долбоор экинчи далил күтүлгөн жерде так ийгиликсиз болот.

Ошол эле файл шлюзде башкача окулат

Ошол эле swanctl файлы кайда аткарылаарына жараша башкача окулат жана адамдар ушул бөлүктө чалынат. Ноутбукта шлюз — өнөктөш, ал эми шлюзде ноутбук — өнөктөш, ошондуктан local тарабын мен киммин деп, remote тарабын кимди кабыл алам деп жазыңыз. local блогу бул чет өзүн кантип аутентификациялаганын сүрөттөйт, ал эми remote блогу экинчи четтен эмнени талап кылганын айтат. Блокту эки файлдын ортосунда көчүрүү бир белгини да өзгөртпөстөн анын маанисин тескери бурат. Эки файлды салыштыруу дээрлик эч нерсе бербейт, анткени бирдей сөздөр ар биринде карама-каршы мааниге ээ.

Бөлүмдүн орду анын тартибин аныктайт, эгер раунд номери аны басып өтпөсө. Ошондуктан кошумча local же remote бөлүмдөрү альтернативаларды эмес, кошумча раунддарды сүрөттөйт, ал эми swanctl.conf маалымдамасы ичиндеги ачык раунд номери так ушул тартипти атайын кылуу үчүн бар. Ансыз блокту жылдыруу жүрүм-турумду өзгөртөт. Ошондуктан кагазда барабар көрүнгөн эки конфигурация карама-каршы тартипте иштеши мүмкүн.

Бул тартип эрежеси эсте каларлык бузулуу режимин жаратат. Экинчи remote блогу — дагы бир жарактуу вариант эмес; ал экинчи талап, ошондуктан же/же деп окулган саясат жана-андан кийин сыяктуу аракет кылат. Шлюз саясаты катталган машинанын сертификатын кабыл алып, анан ошол колдонуучунун EAP алмашуусун так ушул тартипте талап кылышы мүмкүн.

Раунддарды көз карандысыз факторлордон айырмалаңыз

Эки раунд автоматтык түрдө эки көз карандысыз фактор эмес. Далилди кайталоо же бир кампада эки эсептик маалыматты кармоо долбоор кошууга тийиш болгон күчтү бербейт. Көз карандысыздык — сырлардын кантип сакталышынын жана аларга эмне коркунуч туудурарынын касиети, протокол канча алмашуу жасаганынын эмес. Раунддарды фактор деп эсептеген долбоор өзүндө барын ашыра баалайт. Бул айырмачылык шайкештик суроосу кирүүнүн иш жүзүндө канча фактор колдонгонун сураганда өзгөчө маанилүү.

Машина сертификаты өзүнүн кабыл алынган ачкычына ээликти далилдейт, андан ашык эмес. Ал аппараттык аттестация да, түзмөктүн ден соолугу тууралуу отчет да эмес, ошондуктан статус маалыматын талап кылган саясатка башка механизм керек. subject талаасы да ишенимдүү эсеп белгиси эмес, анткени subject-ти сертификатты берген же каттаган тарап тандайт. Эгер долбоорго машинанын соо экендигине далил керек болсо, ал далил машинаны өлчөгөн компоненттен келиши керек.

Ар бир раунд чындыгында эмнени далилдей турганын аны коштон мурун жазыңыз. Эки раунд бир нерсени эки жолу далилдесе, экинчиси ишенимдин ордуна кечигүү жана колдоо билеттерин кошот. Ошол эскертүү кошумча раунд өз баасына татыктуубу деген талашты да токтотот.

Жуптоо эрежесин жазыңыз жана баш тартууларды сынаңыз

Кайсы машина инсандары кайсы адамдар менен жупташа аларын чечип, эрежени аткаруу жашаган жерге жазыңыз. Катар турган эки жарактуу эсептик маалымат жуптоо тууралуу эч нерсе далилдебейт, анткени жуптоо — аутентификациянын жыйынтыгы эмес, уруксат берүү чечими. Каттоо жазуулары же аутентификация бэкенди уюм каалаган мамилени аткарышы керек.

Анан ийгиликсиз болушу керек нерсени сынаңыз: жактырылбаган машинадагы кабыл алынган колдонуучу, машинанын эсептик маалыматын кармаган жактырылбаган колдонуучу жана кошумча раундду аткара албаган өнөктөш. Эгер үчөө тең үнсүз эле ошол эле жеткиликтүүлүктү алса, саясат аны аткаруунун ордуна ниетти сүрөттөйт. Жарыяланган конфигурацияны демон билдирген менен салыштырыңыз, анткени эч качан дал келбеген байланыш өткөн эрежеге так окшошот:

swanctl --list-conns
swanctl --list-sas

Ийгиликтүү кирүүнү гана эмес, сүйлөшүлгөн раунддарды жана андан келип чыккан уруксатты текшериңиз. Жана эски IKEv1 XAuth жөндөөлөрүнө кыска жол катары кайрылбаңыз: байланыш ийгиликтүү болгонго чейин керектүү раундду өчүрүүнүн ордуна протоколду, ролдорду, тартипти жана кардардын чыныгы жүрүм-турумун дал келтириңиз. Ийгиликсиз раундду өчүрүү — эки далилдүү долбоордун үнсүз түрдө эч ким карап чыкпаган бир далилдүү долбоорго айлануу жолу. Өчүрүүнү өзгөртүүлөр жазуусунда калтырыңыз.