iPhone IKEv2ден RouterOSко: кайсы идентификатор кайда жайгашат
Төрт өзүнчө ырастоо iOSтеги IKEv2 туннелин чечет: терилүүчү дарек, күтүлгөн сервер идентификациясы, билдирилген клиент идентификациясы жана сертификат материалы.
MikroTik дарбазасына жетүү IKEv2 жайгаштыруунун транспорттук жарымын гана чечет, башка эч нерсени. Андан кийин төрт өзүнчө ырастоо туннелдин пайда болушун чечет: телефон терип жаткан дарек, күтүлгөн сервердин идентификациясы, өзү үчүн билдирген идентификация жана ошол ырастоону колдогон сертификат материалы. Аларды ушул тартипте текшериңиз жана дарбаза сунуштаганына туура келбеген биринчисинде токтоңуз. Ар бири башка жерде редакцияланат, ошондуктан туура эмес редакциялоо көбүнчө бузулууну оңдоонун ордуна жылдырат.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Профилдин талааларын алмашуу аларды колдонгон тартипте текшериңиз
Алыскы дарек биринчи IKE пакетинин бара турган жери жана андан ашык эмес. Алыскы идентификатор — телефон дарбаза өзүн ошол деп далилдешин күткөн нерсе, жана бул ат, маршрут эмес. Экөөнү тең бирдей хост аты менен толтуруу дарбазанын сертификатында ошол ат болгондо иштейт, ал эми болбогондо маршруттоо маселесине окшошуп ийилет. Профилди толтурулуучу талаалардын тизмеси катары эмес, ырастоолордун ырааттуулугу катары окуңуз.
Жергиликтүү идентификатор — телефондун өз ырастоосу жана ал телефон сунуштаган клиент сертификаты үчүн RouterOS идентификация жазуусу кабыл алган ат болушу керек. Экөө туура келбесе, дарбаза сертификат өзү текшерилгенден кийин байланыштан баш тартат, ал эми журнал ат эмес, авторизация маселесине окшошот.
Идентификаторлорду дарбаза сунуштаган нерсе менен салыштырып текшериңиз
Сертификат аркылуу аутентификация үчүн конфигурацияланган RouterOS өнөктөш жазуусу өз сертификатын сунуштайт жана анын идентификациясы башкача конфигурациялабасаңыз, ошол сертификаттан алынат. Эгер телефондун алыскы идентификатору дарбазанын DNS атын атаса, дарбазанын сертификатына ошол ат телефон кабыл ала турган жерде, адатта субъекттин альтернативдик атында керек. Башка жалпы атка берилген сертификат ачкыч менен чынжыр кемчиликсиз болсо да текшерилбейт.
Башкарылуучу Apple профилдери идентификатор талааларына кошумча бааланган сертификат атынын чектөөсүн да алып жүрүшү мүмкүн. Жөндөөлөр экраны көрсөткөндөн текшерүү атын божомолдоонун ордуна маалыматты текшериңиз, анткени экөө бир жөндөө эмес.
Клиент сертификаты ачкыч экенин, жөн гана ишеним тиреги эмес экенин текшериңиз
CA сертификатын импорттоо телефонго дарбазаны текшерүү үчүн бир нерсе берет. Ал телефонго клиент идентификациясын бербейт, ал эми сертификат аркылуу аутентификация клиенттин жалбырак сертификаты менен анын жеке ачкычын бекитилген каттоо жолу менен бирге жеткирүүнү талап кылат. Жеке ачкычсыз курулган PKCS#12 таза орнотулуучу жана эч нерсени аутентификациялабаган профиль берет.
Клиент жалбырагына RouterOS тарабы күткөн идентификация да керек, башкача айтканда субъект же субъекттин альтернативдик аты тиешелүү идентификация конфигурациясына туура келиши керек. Клиент жана сервер сертификаттарын бир CAдан берүү чынжырды ыңгайлуу кылат жана эки жалбыракты өз ара алмаштырылуучу кылбайт.
RouterOS саясаты ошол атты кабыл аларын текшериңиз
Дарбазада өнөктөш жазуусу алмашуу режимин жана аутентификация ыкмасын белгилейт, идентификация жазуусу болсо кабыл алынган алыскы идентификацияны сертификат жана андан кийинки саясат менен байланыштырат. RouterOS v7де бул жуп IPsec өнөктөш жана идентификация жазуулары аркылуу туюнтулат, мисалы auth-method=digital-signature бар IKEv2 өнөктөшү. Эски версияга жазылган колдонмону эмес, орнотулган чыгарылышыңыздагы реалдуу меню мазмунун текшериңиз.
Дал ушул жерде шайкешсиздикти оңдоо эң арзан, анткени дарбаза сизге алган жана каалаган идентификацияны айта алат. Катаны унчукпай коюу үчүн кабыл алынуучу идентификацияны кеңейтүү жайгаштырууга маани берген байланышты жояды.
Бир нерсени редакциялоодон мурун кайсы баскыч ишке ашпаганын текшериңиз
Аракетти эки учта окуп, сунушту өзгөртүүдөн мурун классификациялаңыз. Сунуштун шайкешсиздиги, жоголгон кол коюу ачкычы, ишенимсиз чыгаруучу, туура эмес өнөктөш идентификатору жана четке кагылган клиент авторизациясы телефондон өлүк туннель болуп көрүнөт жана ар биринин ээси башка. Беш жөндөөнү тең бир убакта өзгөртүү жыйынтыктан эч нерсе үйрөнбөй турганыңызга кепилдик берет.
Сунушталган идентификацияны, күтүлгөн идентификацияны, сертификаттын чыгаруучусун жана сериялык номерин жана тиешелүү саясаттын атын жазып алыңыз, жеке ачкычтар менен профиль сырларын ошол жазуудан тышкары кармаңыз. Аутентификация ийгиликтүү болгондон кийин, жеке кызматты жана анын жообун сынап көрүңүз, анткени дарек бөлүштүрүү, селекторлор, DNS жана кирүү саясаты IKE алмашуусу бүткөндөн кийин да иштеши керек.