IKEv2 Serveradress vs Identitéit: wat de Client tatsächlech kontrolléiert

E Paart, deen d'Adress ännert, kann weider schaffen, während dee selwechte Paart hannert engem neie Zertifika stoppt, an de Géigendeel geschitt och. D'Adress seet dem Client wou Päck ze schécken; déi authentifizéiert Identitéit seet dem Client ob d'Per-Äntwert deen ass deen se soll vertrauen. IKEv2 hält déi als zwee separat Felder, wat nëtzlech ass wann Dir ophale se als eng String ze behandelen. Si sinn och op verschiddene Plazen konfiguréiert, sou datt een richteg ka sinn, während déi aner falsch ass.

Kontrolléiert se an dëser Reiefolleg a stoppt beim éischte Mëssverständnis, well déi spéider Kontrollen huelen un datt déi fréier passéiert sinn.

Éischtens, wéi ee Wäert ass d'Adress

D'Verbindungsadress ass wat och ëmmer de Client wielt: eng IP, en DNS Numm deen op een opléist, oder e load-equilibréierte Frontend. Dat ass Transportinformatioun an näischt méi. D'Identitéit fiert an der IKEv2 ID Notzlaascht a gëtt dann mat dem Peer-Zertifikat ugepasst. En DNS Numm an der Adressbox gëtt net déi erwaart Identitéit, an eng rau IP gëtt net d'Identitéit just well de Socket domat verbonnen ass.

An strongSwan Begrëffer ass d'Adress right oder left, an déi erwaart Identitéit ass rightid oder leftid, an dat ass wat d'IKEv2 Konfiguratiounsdokumentatioun beschreift. Wann Dir nëmmen d'Adress geännert hutt, hutt Dir d'Halschent vum Pair konfiguréiert.

Zweetens, wat den Zertifika beweise kann

D'Identitéit huet en Typ, an den Zertifika muss e passende Numm droen. Eng DNS Identitéit ass zefridden duerch eng dNSName Entrée an der Thema Alternativ Numm Extensioun; eng IP Identitéit brauch en iPAddress Entrée. E Certificat dee fir vpn.example.com ausgestallt gëtt beweist näischt iwwer d'wuertwiertlech Adress 203.0.113.10, an e fir dës Adress ausgestallt beweist näischt iwwer den Numm. D'Resue fir en aneren Numm ass also keen Drop-in Ersatz, och wann dee selwechte Schlëssel an CA erëmbenotzt ginn.

Modern Clienten ignoréieren de gemeinsame Numm wann e Sujet Alternativ Numm existéiert, a vill ignoréieren et ganz. Wann d'Lëscht SAN net de Wäert enthält, deen de Client kontrolléiert, klappt den Handshake nodeems de Certificat schonn als vertrauenswierdeg ugeholl gouf, dofir liest de Log als Identitéitsfehler anstatt e Vertrauensfehler.

Drëttens, wéi all Client d'Erwaardung seet

Windows hëlt de Servernumm oder d'Adress déi Dir aginn hutt a erfuerdert den Zertifika fir et ze passen, sou datt eng IP tippt eng IP Erwaardung erstellt. Dem Android säi IKEv2 Client verhält sech déiselwecht Aart a Weis, a béid refuséieren e gëlteg, ëffentlech trauen Zertifika deen en anere Host nennt. E Profil kann ufänken ze versoen just well een den Hostnumm mat senger Adress während enger Migratioun ersat huet. Kuckt wat de Client gefrot huet ier Dir kuckt wat den Zertifika enthält.

Op strongSwan ass d'Erwaardung explizit: Setzt rightid op d'Identitéit déi de Server tatsächlech presentéiert, déi vu riets ënnerscheeden kann. Wann Dir et op %any setzt, akzeptéiert alles wat de Peer bitt a läscht genau de Scheck, deen Dir probéiert ze halen.

Véiert, getrennt Benotzer Login vun Peer Identitéit

EAP Authentifikatioun an d'Serveridentitéit beäntweren verschidde Froen. Eng EAP Identitéit wéi [email protected] seet wien de Benotzer ass, nodeems de Client decidéiert huet datt de Server dee richtege ass. D'Rotatioun vun dësem Passwuert kann net e Peer Identitéit Mëssverständnis fixéieren, well d'Verbindung ni d'Benotzer Login Etapp erreecht.

E sanitiséierte Bericht soll béid nennen: d'Identitéit déi de Client erwaart huet, d'Identitéit déi de Server presentéiert huet an d'Zertifikat SAN Entréen.

Fënneften, ännert et duerch e verifizéierte Kanal

Wann de Paart legitim bewegt, aktualiséieren d'Adress als éischt a loosst d'Identitéit eleng, well dat ass de Fall IKEv2 handhabt gutt. Wann d'Identitéit selwer ännert, behandelt et als Vertrauensevenement a kritt den neie Wäert vun enger Quell déi Dir scho vertraut, net vum Endpunkt deen de Moment feelt. E Message geliwwert iwwer d'Verbindung déi Dir probéiert ze validéieren ass kee Beweis iwwer dës Verbindung.

Notéiert déi lescht Adress, Identitéit an SAN Lëscht zesummen an de Profilnotizen. Déi nächst Persoun, déi den Zertifika beréiert, gesäit dann, wéi eng vun deenen dräi erlaabt ass ze bewegen.