IKEv2-Zertifikats-SAN: firwat d’Identitéitskontroll feelt schléit

Äert Zertifikat ass un eng vertrauenswürdeg CA geketten, d’Datenstempel si richtegeg, an de Peer refuséiert nach ëmmer d’Phase 1 mat engem Identitéitsfehler ofzeschléissen. Erreechbarkeet an eng gülteg Ënnerschrëft sinn nëmmen d’Halschent vun deem, wat en IKEv2-Client kontrolléiert. Déi aner Halschent ass, ob déi erwaart Identitéit am richtegen Feld am Zertifikat erschéngt, an dës Erwaardung gëtt vum Profil gesat, net vum Dateinumm vum Zertifikat.

D’Symptom huet ëmmer déiselwecht Form

E Verbindungsprofil gëtt vun engem Hostnumm op eng IP-Adress geännert, oder vun engem Zertifikat mat engem DNS-Numm op eent mat nëmmen Adressen erneiert, anden Tunnel hält op ze verhandelen. Am Netzwierkpad huet sech näischt geännert. De Client erreecht de Peer, kritt en Zertifikat, a refuséiert d’Peer-Identitéit, well den Identifizéierer, deen hie sollt erwaarden, net an engem Feld, deen hie akzeptéiert, duergestallt ass. Erneierungen sinn den üblechen Ausléiser, well den Ersatz-Zertifikat dacks aus enger anerer Schabloun kënnt wéi deen, deen hien ersetzt.

Déi zwou Säiten loggen duerno eppes Netzhëllefs, dofir gëtt de Feeler meeschtens als Zertifikatsproblem gemellt. De Client-Log kann d’Identitéit nennen, déi hie wollt, an deen Numm ass den Hiwäis, deen Dir braucht, net den Oflafdatum.

Passt den Typ vum Identifizéierer un, net nëmmen de Wäert

En dNSName SAN an en iPAddress SAN si verschidde Felder mat verschiddene Passregelen, also erfëllt en Zertifikat, dat 203.0.113.10 als DNS-String dréit, kee Client, deen eng IP-Identitéit erwaart. Modern Validéierer ignoréieren de gemeinsamen Numm gréisstendeels, also beweist de frëndlechen Etikett an den Zertifikatsdetailer näischt doriwwer, wat passen wäert. Wann während der Feelerdiagnos en Hostnumm duerch eng Adress ersat gouf, gitt dovun aus, datt déi erwaart Identitéit matgezunn ass, bis Dir et kontrolléiert hutt. Vergläicht de String am Profil mam String am SAN Zeechen fir Zeechen, well en Punkt um Enn oder e lächerleche Raum genuch ass.

Wildcards sinn nëmmen eng DNS-Bequemlechkeet a befollegen hir eege Passregelen, wat en aneren Grond ass, firwat en IP-baséierte Profil sech ni op si verloosse soll.

Fannt eraus, wou all Client d’Erwaardung späichert

A strongSwan kënnt de Wäert, dee mam Zertifikat verglach gëtt, aus der Peer-Identitéitsastellung: rightid an der klassescher Konfiguratioun, oder dem id vun enger Remote-Verbindungssectioun a swanctl. Seng Dokumentatioun iwwer Apple IKEv2-Interoperabilitéit ass hei nëtzlech, well se déi Identitéitskonventiounen erkläert, déi en profilgedriwwene Client benotzt, an dës Konventiounen erklären eng Klass vun Ongereimten, déi um Kabel zoufälleg ausgesäit.

Apple-Konfiguratiounsprofiler droen e Remote-Identifizéierer-Feld, an de Wäert do ass dat, wat de Client kontrolléiert, an net d’Serveradress an den Astellunge vun der Verbindung. Windows- an Apparat-Cliente hu jidderee säin eegene Feld mat sengem eegene Standard, an de Standard follegt dacks der Adress, déi Dir agetippt hutt. Wou zwou Felder net iwwerenee kommen, gewënnt dat, wat de Client tatsächlech liest, an et ass seelen dat, wat Dir geännert hutt.

Reparéiert de Profil oder den Zertifikat, bewosst

Iwwerpréift den Peer-Zertifikat mat guttgeheescht Tools a lëscht d’SAN-Anträg mat hire Typen op, ier Dir eppes ännert. Déi Iwwerpréiwung brauch kee private Schlëssel an keen Upload, an se kläert d’Fro a Sekonnen. Wann d’Bereitstellung eng eenzeg DNS-Identitéit wëll, muss den Zertifikat se als dNSName-Antrag droen, a wann d’Bereitstellung eng Adress wëll, brauch den Zertifikat en iPAddress-Antrag fir genee déi Adress.

Wann den Zertifikat falsch ass, frot den Bedreiwer ëm en korrigéierten mat dem spezifeschen erwaarten Identifizéierer. Wann de Profil falsch ass, reparéiert de Profil an loosst den Zertifikat a Rou. D’Identitéitsvalidéierung ausschalt maacht de Feeler verschwannen a entfernt d’Kontroll, datt den Tunnel mat dem Peer schwätzt, deen Dir gemengt hutt.

Dokumentéiert déi erwaart Identitéit pro Client-Plattform, well e Wäert, deen ee Client automatesch ofleet, op engem aneren explizit gebraucht ka ginn.

Gitt der Erneierungsufro véier Fakten

Schreift den erwaarten Identifizéierer an säin Typ op, d’SAN-Anträg, déi den aktuellen Zertifikat tatsächlech huet, de Client an d’Versioun, déi d’Kontroll maachen, an den exakten Feelertext. Eng Erneierungsufro aus dëse véier Zeile kritt déi éischt Kéier den richtegen Zertifikat, amplaz nach een mat demselwecht vertraute Dateinumm.