Wéi déi hybrid Authentifikatioun vun IKEv1 an d'Benotzerauthentifikatioun vun IKEv2 iwwergeet
Den hybrid Modus huet de Beweis vum Gateway vum Beweis vum Benotzer getrennt. Den Iwwergang op IKEv2 behält déi Trennung, awer ännert den Austausch, d'EAP-Method an d'Zertifikatsprüfungen.
All ale VPN-Profil, dee fir d'éischt en Zertifikat vum Server a duerno e Benotzernumm freet, dréit zwee Authentifikatiounsereegnisser an engem eenzegen Austausch, an déi Form iwwerlieft de Protokoll, deen se agefouert huet. Den hybrid Modus vun IKEv1 gouf genee dofir gebaut: de Gateway weist sech mat engem ëffentleche Schlëssel aus, de Benotzer weist sech duerno iwwer XAuth aus. IKEv2 dréckt déi selwecht Zwee-Schrëtt-Iddi mat enger anerer Mechanik aus, an an deenen Ënnerscheeder scheitert d'Migratioun. Keng Versiounsnummer verwandelt dat Een an dat Anert, an d'Kopéieren vun den ale Optiounsnummen an en neie Profil gëtt e Client, deen ausgehandelt huet an duerno näischt authentifizéiert.
Wat den hybrid Modus bannen IKEv1 gemaach huet
An engem hybrid Profil ënnerschreift déi äntwerend Säit den Austausch vun der éischter Phas mat hirem Zertifikat, wärend den Initiator bewosst keent virleet. Den Identitéitsbeweis ass also asymmetresch, an dat huet engem Gateway erlaabt, seng bestehend PKI ze behalen, wärend d'Benotzer hir Verzeechnes-Passwierder behalen hunn. Nodeems déi éischt Phas fäerdeg ass, leeft XAuth als Ufro an Äntwert, déi d'Attributer vum Benotzernumm a Passwuert bannen dem elo verschlësselten ISAKMP-Kanal dréit.
Kuckt wou d'Vertraue lant. Den Zertifikat äntwert, wéi en Gateway de Client erreecht huet; XAuth äntwert, wéi en Benotzer Zougang wëll. Kee vun deenen zwee ersetzt dat anert, an e Client, deen ageriicht ass, all Serverzertifikat unzehuelen, huet déi éischt Äntwert roueg ewechgehäit. D'Etikett hybrid gëtt och fir den aggressive Modus mat engem viraus gedeelte Schlëssel plus XAuth benotzt, eng aner Anuerdnung mat der selwechter Benotzererfarung, liest also de Profil an net den Numm. Béid Varianten kommen aus Entwërf, déi ni Standards gi sinn, an dofir kënnen zwou Hiersteller den hybrid Modus ëmsetzen an net mat enger ze kompatibel sinn.
Wéi IKEv2 op déi selwecht zwee Beweiser kënnt
IKEv2 deelt d'Aarbecht tëscht IKE_SA_INIT an IKE_AUTH. Den éischten Austausch eenegt sech op Virschléi a Schlësselen ouni all Identitéit; den zweeten dréit IDi, IDr an d'AUTH-Lasten. Ënner EAP geet déi éischt AUTH-Last vum Initiator eidel eraus, déi äntwerend Säit authentifizéiert sech fir d'éischt mat hirem Zertifikat an hirer Ënnerschrëft, an duerno leeft de Gespréich EAP bannen den IKE_AUTH-Message.
D'Mechanik, déi dat sécher mécht, ass Schlësselmaterial. Eng erfollegräich EAP-Method exportéiert e Session-Schlëssel, an déi lescht AUTH-Last vum Initiator gëtt doraus berechent, sou datt de Beweis vum Benotzer an d'Schlëssele vum Tunnel unenee gebonne sinn. XAuth huet keng Entspriechung: seng Attributer komme nom éischten Deel an droen näischt zu de Schlësselen bäi. Genau déi Lück sollt de Kader vun IKEv2 zoumaachen, an dofir validéiert eng funktionéierend IKEv2-Anmeldung den Zertifikat vum Server, ier se iergend eppes freet.
Dës Reiefolleg ass och eng nëtzlech Diagnos. Wann e Client iwwer d'Access-Donnéeë klot, ier hien Iech en Zertifikat weist, mécht hien iwwerhaapt keen EAP-Austausch vun IKEv2.
Halt dräi Identitéiten getrennt
Eng Migratioun geet schief, wann dräi Identitéiten an engem Feld zesummefalen. Et gëtt d'Identitéit vum Gateway, déi de Client validéiert, meeschtens en DNS-Numm am subject oder SAN vum Zertifikat. Et gëtt d'Benotzeridentitéit, déi an EAP presentéiert gëtt, vläicht eng Domain-Anmeldung, eng Adress oder eng explizit EAP-Identitéitszeechenketten. An et gëtt d'Quell vun der Autoriséierung, déi deen Benotzer op Netzwierker a Routen astellt.
D'Syntax swanctl vun strongSwan mécht d'Trennung sichtbar: d'Verbindung setzt remote { auth = pubkey } fir de Gateway an local { auth = eap-mschapv2 } fir de Benotzer, an d'EAP-Identitéit gëtt separat gedroen.
Wann d'Benotzeridentitéit am neie Profil vun den alen XAuth-Attributer ofwäicht, zum Beispill eng UPN amplaz vun engem kuerzen Numm, gesäit den Authentifikatiounsserver en onbekannte Benotzer an de Feeler gesäit aus wéi e falscht Passwuert. Iwwerpréift de Identitéitszeechenketten, ier Dir d'Access-Donnéeë préift.
Maacht eng Kaart vun den Optiounen an erwaart duerno d'Falen
D'Kaart ass kuerz an all Zeil huet eng Fal, déi just bei der Authentifikatioun erschéngt.
| Legacy hybrid element | IKEv2 equivalent | Where it bites |
|---|---|---|
| Gateway certificate, no client certificate | Responder authenticated with pubkey, initiator with EAP | The server needs an EAP method configured, not just a certificate |
| XAuth username and password | EAP-MSCHAPv2 or an inner method | Password policy and account format differ from the old directory field |
| XAuth attribute replies | IKEv2 configuration payload | Attribute numbering is unrelated; nothing is renamed |
| Proxy IDs from quick mode | TS_i and TS_r in IKE_AUTH | Narrowing on the responder can leave an IKE SA with no child SA |
Keng vun deenen Zeilen ass just eng Ëmbenennung. D'Konfiguratiounslast liwwert Adressen a Resolveren iwwer eng getypt Attributslëscht, wärend de Attributsraum vun XAuth seng eege Erfindung war; se als austauschbar ze behandelen ass de Wee, wéi e Profil am Enn eng Astellung freet, déi de Gateway ni wäert schécken.
D'Traffikselektoren verdéngen hir eege Warnung. IKEv1 huet den interessante Traffik duerch Proxy-IDen ausgedréckt, déi un den quick mode-Austausch gebonne waren, wärend IKEv2 d'Selektoren wärend IKE_AUTH verhandelt an déi äntwerend Säit se ka verengen. En Ongerodnement produzéiert eng etabléiert IKE SA ouni child SA, déi e puer Clienten agreabel als verbonne weisen.
Behandelt déi al Verbindung als Grenz
RFC 9395 erkläert IKEv1 fir veraltert, dofir ass eng al hybrid Verbindung eng Kompatibilitéitsgrenz mat engem Datum, kee Fong. Loosst béid Profiler wärend dem Changement niefteneen lafen, well dee wichtegen Test ass net, ob den neie Profil eropkënnt, mä ob dee selwechte Benotzer op deem selwechten Apparat déi selwecht Ressourcen erreecht.
Halt d'Zertifikatsvalidéierung bis zum Schluss strikt. Soubal de Client opgeet, säin eegene Zertifikat virzeleen, ass d'Versuchung do, d'Serverprüfung ze luesen, bis den Handshake duerch ass, an dat tauscht deen eenzege verbleiwenen Beweis géint e gréint Symbol.
Schreift véier Saachen op, ier Dir den ale Profil pensionéiert: d'EAP-Method, den Identitéitszeechenketten, d'Quell vun der Autoriséierung an den Datum, op deem den Support ophält.