strongSwan EAP: IKE идентификациясы жана күтүлгөн AAA аты

strongSwan EAP кардары эки сервер атын текшере алат. remote.id IKE шлюзун, local.aaa_id EAP серверин камтыйт; булар бир талаа эмес.

IKEv2 аркылуу EAP аутентификациясы кардардан бир байланышта эки башка сервер атын текшерүүнү талап кылышы мүмкүн. IKEди бүтүргөн шлюз бир идентификацияны сунуштайт, ал эми ички TLS алмашуусун бүтүргөн EAP сервер бөлүгү башкасын сунушташы мүмкүн. strongSwanда алар ар башка конфигурациялык блоктордо жашайт, ал эми атты туура эмес блокко коюу сертификат көйгөйүнө окшош ката жаратат. Кайсы текшерүү ишке ашпаганын окуу кайсы блокту оңдоону айтат.

Бир байланыш, эки сервер идентификациясы

Биринчи идентификация IKE алмашуусуна таандык. Кардар даректи терүүдө жана каршы тарап белгилүү бир идентификацияны, адатта шлюз сертификатындагы атты далилдешин күтөт.

Экинчиси EAPга таандык. PEAP же TTLS менен кардар IKE SAнын ичинде аутентификация серверине TLS туннелин курат, жана ошол ички сервер өз сертификатын сунуштайт. Сервер бөлүгү өзүнчө хост болсо, анын аты шлюздун атынан айырмаланат. Бир гана биринчи атты текшерген кардар экинчиси айткандын баарын кабыл алат. Ал эми эки жерде тең бир ат менен конфигурацияланган кардар экөө чынында айырмаланганда ишке ашпайт.

Эки ат тең оператордун конфигурациясынан келет, катаны жок кылган сертификаттан эмес. Оператордон жайгаштыруу деталдарын суроо эки хост атын болжолдоодон тезирээк.

Кайсы талаа кайсы катмарга таандык

swanctlде дарек жана IKE идентификациясы өзүнчө жөндөөлөр, ал эми EAP идентификациясы үчүнчүсү.

Алыскы дарек пакеттердин кайда барарын тандайт, ал эми алыскы идентификация каршы тарап эмнени далилдеши керектигин айтат. EAP күтүүсү local блогынын астына жазылат, анткени ал каршы тараптын IKE жүрүм-турумун эмес, бул кардардын EAP алмашуусун сүрөттөйт. Ушул жайгаштыруу туура эмес окулат. Ат серверди сүрөттөп, кардардын конфигурациясында турат, ошондуктан ал орду жоктой көрүнөт.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Бул үзүндү толук байланыш эмес; ишеним материалы, эсептик маалыматтар жана туунду байланыштардын саясаттары дагы болушу керек. Аны иштеп жаткан файлга сөзмө-сөз көчүрүү сизге дагы керек жөндөөлөрдү алмаштырат.

Эмне үчүн aaa_id localдын астында жашайт

local блогу бул тараптын аутентификация учурунда эмне кыларын, анын ичинде колдоно турган ыкманы жана ошол ыкма үчүн каршы тараптан күткөн идентификацияны сүрөттөйт. Анда AAA сервери ошол эле машинада иштейт деген эч нерсе айтылбайт.

Демейки маани тузакты курчутат. Ачык маани коюлбаса, күтүлгөн AAA идентификациясы алыскы идентификацияны ээрчийт, ошондуктан бир аттуу жайгаштыруу иштейт жана айырманы жашырат. Ачык маани EAP жайгаштыруу чындап башка жерде бүткөндө гана маанилүү. Аны ошол себепсиз башка атка коюу оператор кайталай албаган ката жаратат. Экинчи атты ойлоп табуудан мурун жайгаштырууну окуңуз.

Маанини сервер бөлүгүнүн сертификаты чындап ырастаган нерсеге, аттын формасын кошкондо, окшош кармаңыз. Аягындагы чекит же хостту камтыбаган жапайы белги текшерүүнүн ишке ашпашына жетиштүү.

Бөлүнүүнү билдире албаган интерфейстер

NetworkManager профили swanctlдин ошол эле конфигурация интерфейси эмес. Анын артындагы плагин идентификацияны башкаруунун тар топтомун сунуштайт, ал эми кайсылары бар экени орнотулган версияга байланыштуу.

Бул жайгаштыруу чындап эки атты талап кылганда маанилүү. Сервер идентификациясы деп белгиленген талаа бир катмарды конфигурациялап, экинчисин конфигурациялабашы мүмкүн, ошондуктан профиль туура көрүнүп, баары бир ички текшерүүдөн өтпөй калышы мүмкүн. Профиль бул жайгаштырууну билдире алат деп ойлоодон мурун орнотулган плагин эмнени колдой турганын текшериңиз. Эгер колдобосо, тандоо операторго таандык: башка жеткирүү жолу же оңдолгон сервер идентификациясынын дизайны. PEAPты алсыратуу же каалаган атты кабыл алуу аутентификация саясатын оңдоонун ордуна өзгөртөт.

Альтернативаны кардарда ойлоп табууга болбойт. Колдоого алынган жайгаштырууну жазуу түрүндө сураңыз, анан ошол жоопту профиль менен бирге сактаңыз.

Идентификациянын дал келбестигин мөөнөтү бүткөн сертификаттан айырмалаңыз

Аттын дал келбестиги жана мөөнөтү бүткөн сертификат ар башка каталар, жана журнал аларды айырмалайт. Кайсы талааны өзгөртүүнү чечүүдөн мурун билдирүүнү окуңуз.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Көздөлгөн AAA идентификациясын коюу сертификатты жаңыртпайт жана анын чыгаруучусуна ишеним орнотпойт, ал эми сертификатты жаңыртуу туура эмес күтүлгөн атты оңдобойт. Дагы бир идентификация талаасын оңдоодон мурун кайсы текшерүү ишке ашпаганын окуңуз. Анан конфигурацияны кайра жүктөп, жүктөлгөн байланыш сиз койгон маанини көрсөтөрүн ырастаңыз, анткени эч качан жүктөлбөгөн оңдолгон файл эч нерсени өзгөртпөйт. Эки атты жана алардын катмарларын жайгаштыруу жазууларына жазыңыз.

Тектеш макалалар