Zwee Identitéiten an engem IKEv2-Login: fir d'éischt d'Maschinn, dann de Benotzer

E Clientszertifikat gëtt validéiert, den éischten Austausch geet duerch, an dann hält d'Verbindung mat engem Feeler iwwer eng zousätzlech Authentifikatiounsronn un. Näischt an der Zertifikatsketten ass falsch, an am Netz huet sech näischt geännert. D'Gateway ass konfiguréiert, eng zweet Beweis vun der verbindender Säit ze verlaangen, an de Client schéckt ni eng. Decidéieren, wien wat a wéi enger Rei beweist, ass déi ganz Aufgab, an se fänkt u mam Liesen vun der Politik vum Endpunkt, op deem Dir stitt. Zwou Beweiser vun ënnerschiddlecher Aart, an enger fester Rei, si mat enger Designentscheedung an net engem Kontrollkëschtchen.

D'Symptom: Feelschlag no engem erfollegräichen éischte Beweis

Den éischten Austausch geet duerch an de Log gesäit gesond aus, bis d'Gateway eng Benotzeridentitéit iwwer EAP verlaangt. Dann hält den Handshake un oder et kënnt e Protokollfeeler zréck, deen déi zousätzlech Ronn nennt. En komplett gëlteg Maschinnszertifikat gëtt aus engem Grond ofgeleent, deen näischt mat senger Gëltegkeet ze dinn huet. D'Politik huet eng zweet Beweis gefrot, an d'Äntwert vum Client ass ni ukomm.

Déi zwou Beschreiwunge vun deem Feelschlag sinn genau, jee nodeem wou Dir stitt. Vun der Clientssäit aus gesäit et aus wéi e Server, deen e gëltegt Zertifikat ofleet, a vun der Serverssäit aus wéi e Client, deen d'Login net fäerdeg kritt. Dat selwecht Evenement gëtt an engem Log als Vertrauensproblem gelies an am aneren als Fähegkeetsproblem. Nëmmen déi konfiguréiert Politik seet Iech, wat vun deenen zwee et ass.

Wat d'Erweiderung bäisetzt a wat net

IKEv2 dréit eng Erweiderung, fir méi wéi een Authentifikatiounsaustausch an enger eenzeger Sitzung auszeféieren. RFC 4739 skizzéiert, ënner aneren Ofleef, e Client, deen eng Zertifikatsidentitéit beweist an duerno eng Persoun iwwer EAP authentifizéiert. D'Dokument ass Experimental, wat bedeit, datt keng Implementéierung Iech dës Funktioun schëlleg ass. Maacht keng Unhuele iwwer Ënnerstëtzung, bis de Partner se verhandelt.

Zwou Säiten mussen d'Erweiderung ënnerstëtzen a sech während dem Austausch drop eenegen. Eng Gateway, déi fir eng zweet Ronn konfiguréiert ass, kann e Client net zwingen, eng ze maachen, an e Client, deen se ënnerstëtzt, benotzt se net, wann de Server net froet. Déi Asymmetrie ass de Grond, firwat de Feelschlag sech meeschtens als Zäitlimite oder Protokollfeeler weist an net als eng kloer Ausso iwwer d'Fähegkeet. D'Konfiguratioun vun enger Säit ze liese seet Iech d'Halschent vun deem, wat geschitt.

Ee Beweis pro Endpunkt ass déi normal Form, an dat ass net dësen Design. D'Gateway presentéiert säin Zertifikat, de Benotzer äntwert iwwer EAP, an all Säit huet déi aner genee eng Kéier authentifizéiert. Déi zwee Beweiser komme vun entgéintgesaten Endpunkten, dofir seet keen vun deenen zwee eppes eegens iwwer d'Maschinn an d'Persoun, déi se benotzt.

EAP-TLS ass eng drëtt Form, an déi ass och net dës. Do gëtt e Clientszertifikat an enger EAP-Method presentéiert, dofir schléisst de Client nach ëmmer eng eenzeg IKE-Authentifikatioun of. D'Berechtegungen kënnen identesch ausgesinn wéi am Fall mat méi Ronnen, wärend de Protokoll eng Ronn amplaz zwou dréit. Dofir feelt en Design, deen aus enger EAP-TLS-Installatioun kopéiert gouf, genee op deem Punkt, wou déi zweet Beweis erwaart gëtt.

Datselwecht Fichier liesst sech op der Gateway anescht

Datselwecht swanctl-Fichier liesst sech anescht, jee nodeem wou et leeft, an dat ass deen Deel, deen d'Leit stolperen. Um Laptop ass d'Gateway de Partner, an op der Gateway ass et de Laptop, also schreift d'local-Säit als wien ech sinn an d'remote-Säit als wien ech akzeptéieren. En local-Block beschreift, wéi dësen Endpunkt sech selwer authentifizéiert, an en remote-Block seet, wat en vum aneren Enn verlaangt. En Block tëschent deenen zwee Fichieren ze kopéieren dréit seng Bedeitung ëm, ouni ee Zeechen ze änneren. Déi zwee Fichieren ze vergläiche seet Iech bal näischt, well déiselwecht Wierder an all eenzel dat Géigendeel bedeiten.

D'Positioun vun engem Abschnitt setzt seng Rei fest, ausser eng Ronnennummer iwwerschreift se. Dofir beschreiwen zousätzlech local- oder remote-Abschnitter zousätzlech Ronnen an net Alternativen, an déi explizit Ronnennummer an swanctl.conf-Referenz existéiert genee dofir, déi Rei bewosst ze maachen. Ouni se ännert d'Verschiebe vun engem Block d'Verhalen. Dofir kënnen zwou Konfiguratiounen, déi um Pabeier gläichwäerteg ausgesinn, sech an entgéintgesater Rei behuelen.

Déi Reegel vun der Rei produzéiert de Feelschlagmodus, deen et wäert ass ze behalen. En zweeten remote-Block ass keng aner akzeptabel Optioun; et ass eng zweet Fuerderung, dofir behält sech eng Politik, déi sech wéi entweeder/oder liesst, wéi an-duerno. Eng Gateway-Politik kann d'Zertifikat vun der registréierter Maschinn akzeptéieren an duerno den EAP-Austausch vun deem Benotzer verlaangen, an där Rei.

Ënnerscheet Ronnen vun onofhängege Faktoren

Zwou Ronnen sinn net automatesch zwee onofhängeg Faktoren. Eng Beweis widderhuelen, oder zwou Berechtegungen am selwechte Späicher halen, gëtt net déi Kraaft, déi den Design sollt bäisetzen. Onofhängegkeet ass eng Eegenschaft vun deem, wéi d'Geheimnisser gehal ginn a wat se kompromettéiert, net vun deem, wéi vill Austausch de Protokoll ausféiert. En Design, deen Ronnen als Faktore zielt, iwwerschätzt, wat et huet. Dee Ënnerscheed ass am wichtegsten, wann eng Konformitéitsfro freet, wéi vill Faktore d'Login tatsächlech benotzt.

E Maschinnszertifikat beweist de Besëtz vu sengem akzeptéierte Schlëssel, an näischt méi. Et ass keng Hardware-Attestatioun an och kee Gesondheetsrapport vum Apparat, dofir brauch eng Politik, déi Statussinformatiounen néideg huet, en anere Mechanismus. D'subject-Feld ass och keen zouverlässegen Inventar-Tag, well den subject vun deem gewielt gëtt, deen d'Zertifikat ausgestallt oder registréiert huet. Wann den Design eng Beweis brauch, datt d'Maschinn gesond ass, muss déi Beweis vun enger Komponent kommen, déi d'Maschinn misst.

Schreift op, wat all Ronn tatsächlech beweist, ier Dir se bäisetzt. Wann zwou Ronnen datselwecht zweemol bewisen, setzt déi zweet Verzögerung a Support-Ticketen bäi an net Sécherheet. Dee Nott ass och dat, wat eng Diskussioun ophält, ob déi zousätzlech Ronn hire Kascht wäert ass.

Schreift d'Paarungsregel an test d'Oflehnungen

Decidéiert, wéi eng Maschinnidentitéiten mat wéi enge Leit gepaart kënne ginn, a schreift d'Reegel do, wou d'Duerchsetzung wunnt. Zwou gëlteg Berechtegungen niefteneen beweisen näischt iwwer d'Paarung, well d'Paarung eng Autorisatiounsentscheedung ass an net en Authentifikatiounsresultat. D'Inskriptiounsopzeechnungen oder de Backend vun der Authentifikatioun mussen d'Relatioun duerchsetzen, déi d'Organisatioun wëll.

Test dann, wat sollt feelen: en akzeptéierte Benotzer op enger net guttgeheeschter Maschinn, en net guttgeheeschte Benotzer mat der Berechtegung vun der Maschinn, an e Partner, deen déi zousätzlech Ronn net kann ausféieren. Wann all dräi roueg dee selwechten Zougang kréien, beschreift d'Politik eng Absicht amplaz se duerchzesetzen. Vergläicht déi deklaréiert Konfiguratioun mat deem, wat den Daemon mellt, well eng Verbindung, déi ni gepasst huet, identesch ausgesäit wéi eng Reegel, déi duerchgaangen ass:

swanctl --list-conns
swanctl --list-sas

Iwwerpréift déi ausgehandelt Ronnen an d'Autorisatioun, déi doraus folgt, an net nëmmen dee gelungenen Login. A gräift net no ale IKEv1 XAuth-Astellungen als Ofkierzung: passt de Protokoll, d'Rollen, d'Rei an dat tatsächlecht Verhalen vum Client un, amplaz eng noutwenneg Ronn ze läschen, bis eng Verbindung geléngt. D'Ronn ze läschen, déi feelt, ass de Wee, wéi en Design mat zwou Beweiser roueg zu engem Design mat enger Beweis gëtt, deen keen iwwerpréift huet. Halt d'Läschen am Ännerungsprotokoll.