iPhone IKEv2 op RouterOS: wat fir en Identifiant wouhi geet
Véier getrennt Behauptungen entscheeden en IKEv2-Tunnel op iOS: déi gewielten Adress, déi erwaart Serveridentitéit, déi behaapt Clientidentitéit an d'Zertifikatsmaterial.
D'Erreeche vun der MikroTik-Paart léist just d'Transportshalschent vun enger IKEv2-Installatioun an näischt anescht. Duerno entscheeden véier getrennte Behauptungen, ob den Tunnel entsteet: d'Adress, déi den Telefon wielt, d'Serveridentitéit, déi en erwaart, d'Identitéit, déi en fir sech behaapt, an d'Zertifikatsmaterial, dat dës Behauptung stäipt. Préift se an dëser Reihenfolge a stoppt bei der éischter, déi net mat deem iwwerenee stëmmt, wat d'Paart presentéiert. All eenzel gëtt op enger anerer Plaz editéiert, dofir verréckelt eng falsch Ännerung normalerweis de Feeler, amplaz en ze beheben.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Préift d'Profilfelder an der Reihenfolge, an där den Austausch se benotzt
Déi wäit Adress ass d'Zil vum éischten IKE-Paket an näischt méi. Den distanzéierten Identifiant ass dat, wat den Telefon vun der Paart erwaart ze beweisen, an et ass en Numm, keng Route. Béides mat demselwechten Hostnumm ze fëllen funktionéiert, wann d'Zertifikat vun der Paart dësen Numm dréit, a schléit op eng Manéier feel, déi wéi e Routingproblem ausgesäit, wann net. Liest de Profil als eng Rei vu Behauptungen, net als eng Lëscht vu Felder, déi auszefëllen ass.
Den lokalen Identifiant ass d'Behauptung vum Telefon selwer, an en muss en Numm sinn, deen den Identitéitsagank vu RouterOS fir d'Clientzertifikat akzeptéiert, dat den Telefon presentéiert. Wa béid net iwwerenee stëmmen, refuséiert d'Paart d'Verbindung, nodeems d'Zertifikat selwer validéiert gouf, an de Log gesäit wéi en Autorisatiouns- a net wéi en Nummproblem aus.
Préift d'Identifiante géint dat, wat d'Paart presentéiert
En RouterOS-Peeragank, deen fir Zertifikatsauthentifizéierung konfiguréiert ass, presentéiert säin eegent Zertifikat, an seng Identitéit gëtt aus deem Zertifikat gezunn, ausser Dir hutt anescht konfiguréiert. Wann den distanzéierten Identifiant vum Telefon den DNS-Numm vun der Paart nennt, brauch d'Zertifikat vun der Paart dësen Numm op enger Plaz, déi den Telefon akzeptéiert, typesch en alternativen Numm vum Sujet. En Zertifikat, dat fir en aneren allgemenge Numm ausgestallt gouf, gëtt net validéiert, och wann de Schlëssel an d'Kette perfekt sinn.
Verwalt Apple-Profiler kënnen och eng Zertifikatsnummbegrenzung droen, déi zousätzlech zu den Identifiantfelder evaluéiert gëtt. Inspektéiert d'Payload, amplaz den Validéierungsnumm aus deem ofzeleeden, wat den Astellungsbildschierm weist, well béid net déiselwecht Astellung sinn.
Préift, ob d'Clientzertifikat e Schlëssel ass an net just en Vertrauensanker
D'Importéiere vun engem CA-Zertifikat gëtt dem Telefon eppes, fir d'Paart ze validéieren. Et gëtt dem Telefon keng Clientidentitéit, an d'Zertifikatsauthentifizéierung brauch d'Clientblat-Zertifikat a säi private Schlëssel, déi zesummen iwwer de geneemegten Inskriptiounswee geliwwert ginn. En PKCS#12, deen ouni de private Schlëssel gebaut gouf, ergëtt e Profil, dee sech propper installéiert an näischt authentifizéiert.
D'Clientblat brauch och eng Identitéit, déi d'RouterOS-Säit erwaart, dat heescht de Sujet oder den alternativen Numm vum Sujet muss mat der entspriechender Identitéitskonfiguratioun iwwerenee stëmmen. Client- a Serverzertifikater vun enger CA auszestellen mécht d'Kette bequem a mécht déi zwee Blieder net austauschbar.
Préift, ob d'RouterOS-Politik dësen Numm akzeptéiert
Op der Paart setzt de Peeragank de Modus vum Austausch an d'Authentifizéierungsmethod fest, an den Identitéitsagank bënnt déi akzeptéiert distanzéiert Identitéit un en Zertifikat an un d'Politik, déi duerno kënnt. An RouterOS v7 gëtt dës Koppel duerch d'IPsec-Peer- an Identitéitsagäng ausgedréckt, zum Beispill en IKEv2-Peer mat auth-method=digital-signature. Préift den tatsächlechen Inhalt vum Menü op Ärer installéierter Verëffentlechung an net eng Uleedung, déi fir eng méi al geschriwwe gouf.
Hei ass eng Onstëmmegkeet och am bëllegsten ze beheben, well d'Paart Iech souwuel d'Identitéit, déi se krut, wéi och déi, déi se wollt, soe kann. Déi akzeptéiert Identitéit ze verbreeden, fir de Feeler ze berouegen, hëlt d'Bannung ewech, déi der Installatioun hire Sënn ginn huet.
Préift, wéi eng Etapp feelgeschloen ass, ier Dir eppes editéiert
Liest de Versuch op béiden Enner a klassifizéiert en, ier Dir e Proposition ännert. Eng Onstëmmegkeet an der Proposition, e fehlende Signaturschlëssel, en net vertrauenswürdegen Aussteller, en falschen Peeridentifiant an eng refuséiert Clientautorisatioun gesinn alleguer vum Telefon aus wéi en doudegen Tunnel, an all huet en aneren Owner. All fënnef Astellungen op eemol z'änneren garantéiert, datt Dir aus dem Resultat näischt léiert.
Notéiert déi presentéiert Identitéit, déi erwaart Identitéit, den Aussteller an d'Seriennummer vum Zertifikat an den Numm vun der betreffender Politik, a haalt privat Schlësselen a Profilgeheimnisser aus deem Notizbuch eraus. Wann d'Authentifizéierung geléngt, test en private Service an seng Äntwert, well Adressverdeelung, Selektoren, DNS a Zougrëffspolitik nach musse funktionéieren, nodeems den IKE-Austausch fäerdeg ass.