strongSwan EAP: IKE-Identitéit géint den erwaarten AAA-Numm

E strongSwan EAP-Client kann zwou Servernimm validéieren. remote.id deckt den IKE-Gateway an local.aaa_id deckt den EAP-Server; dat sinn net déiselwecht Feld.

EAP-Authentifikatioun iwwer IKEv2 kann e Client froen, zwou verschidde Servernimm an enger Verbindung ze validéieren. Den Gateway, deen IKE ofschléisst, weist eng Identitéit, an den EAP-Backend, deen den internen TLS-Austausch ofschléisst, kann eng aner weisen. An strongSwan wunnen si an ënnerschiddleche Konfiguratiounsbléck, an en Numm am falsche Bléck gëtt e Fehler, deen wéi e Zertifikatsproblem ausgesäit. Genau d’Liese vu wéi enger Validéierung Feel gaang ass, seet Iech, wéi enge Bléck ze änneren.

Eng Verbindung, zwou Serveridentitéiten

Déi éischt Identitéit gehéiert zum IKE-Austausch. De Client rifft eng Adress un an erwaart, datt de Géigner eng bestëmmt Identitéit beweist, meeschtens den Numm am Zertifikat vum Gateway.

Déi zweet gehéiert zu EAP. Mat PEAP oder TTLS baut de Client en TLS-Tunnel zum Authentifikatiounsserver bannen an der IKE SA, an deen internen Server weist säin eegene Zertifikat. Wann den Backend en eegene Host ass, ënnerscheet sech säin Numm vum Gateway sengem. E Client, deen nëmmen den éischten Numm kontrolléiert, akzeptéiert wat den zweeten behaapt. An e Client, deen op béide Plazen een Numm konfiguréiert huet, geet futti soubal déi zwee wierklech ënnerscheeden.

Béid Nimm kommen aus der Konfiguratioun vum Bedreiwer, net aus dem Zertifikat, deen de Fehler ewech mécht. De Bedreiwer no den Implantatiounsdetailer ze froen ass méi séier wéi zwou Hostnimm ze roden.

Wéi eng Feld zu wéi enger Schicht gehéiert

An swanctl sinn d’Adress an d’IKE-Identitéit getrennt Astellungen, an d’EAP-Identitéit ass eng drëtt.

Déi ferm Adress wielt wou d’Paketen higinn, an déi ferm Identitéit seet wat de Géigner muss beweisen. D’EAP-Erwaardung steet ënner dem local-Bléck, well se den EAP-Austausch vun dësem Client beschreift an net d’IKE-Verhalen vum Géigner. Genau déi Plaz gëtt falsch geliest. Den Numm steet an der Konfiguratioun vum Client, wärend en en Server beschreift, an dofir gesäit en falsch plazéiert aus.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Dee Fragment ass keng komplett Verbindung; Vertrauensmaterial, Umeldungsinformatiounen an d’Politike vun de Kannerverbindungen musse nach do sinn. En ze kopéieren an eng funktionéierend Datei géif Astellungen ersetzen, déi Dir nach braucht.

Firwat aaa_id ënner local wunnt

Den local-Bléck beschreift wat dës Säit wärend der Authentifikatioun mécht, dorënner d’Method, déi se benotzt, an d’Identitéit, déi se fir déi Method vun der anerer Säit erwaart. Näischt dran behaapt, datt den AAA-Server op der selwechter Maschinn leeft.

Den Standard mécht d’Falle méi schaarf. Wann keen ausdréckleche Wäert gesat ass, follegt d’erwaart AAA-Identitéit der fermer Identitéit, sou datt eng Implantatioun mat engem Numm funktionéiert an den Ënnerscheed verstoppt. En ausdréckleche Wäert zielt nëmmen, wann d’EAP-Implantatioun wierklech soss anzwousch ophält. En ouni dee Grond op en aneren Numm ze setzen, erstellt e Fehler, deen de Bedreiwer net reproduzéiere kann. Liest d’Implantatioun ier Dir en zweeten Numm erdréckt.

Hält de Wäert identesch mat deem wat den Zertifikat vum Backend wierklech behaapt, och d’Form vum Numm. En Schlusspunkt oder en Ënnerscheedungszeeche, deen den Host net deckt, ass genuch fir datt d’Kontroll feel geet.

Frontends, déi d’Deelung net kënnen ausdrécken

En NetworkManager-Profil ass net déiselwecht Konfiguratiounsschnittstell wéi swanctl. De Plugin dohannert bitt eng méi schmuel Rei vun Identitéitskontrollen, a wéi eng et gëtt hänkt vun der installéierter Versioun of.

Dat zielt, wann d’Implantatioun wierklech zwou Nimm brauch. En Feld, dat als Serveridentitéit bezeechent gëtt, kann eng Schicht konfiguréieren an déi aner net, sou datt e Profil richteg ausgesäit an trotzdem déi intern Kontroll feel geet. Kontrolléiert, wat den installéierte Plugin ënnerstëtzt, ier Dir unhëlt, datt de Profil dës Opstellung kann ausdrécken. Wann net, läit d’Wiel beim Bedreiwer: en anere Bereitstellungswee oder eng korrigéiert Konzeptioun vun der Serveridentitéit. D’PEAP ze schwaachen oder en Numm ze akzeptéieren ännert d’Authentifikatiounspolitik amplaz se ze reparéieren.

D’Alternativ ass net eppes, dat een um Client erdréckt. Frot d’ënnerstëtzt Opstellung schrëftlech un, a behält dës Äntwert beim Profil.

Ënnerscheet eng Identitéitsonsstëmmegkeet vun engem ofgelafenen Zertifikat

Eng Nummonsstëmmegkeet an en ofgelafenen Zertifikat si verschidde Fehler, an de Logfile ënnerscheet se. Liest d’Message ier Dir entscheet, wéi en Feld ze änneren.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Déi virgesinn AAA-Identitéit ze setzen erneiert keen Zertifikat a baut keen Vertrauen a säin Aussteller op, an en Zertifikat z’erneieren korrigéiert keen falschen erwaarten Numm. Liest wéi eng Validéierung Feel gaang ass ier Dir nach en Identitéitsfeld ännert. Da lued d’Konfiguratioun nei a bestätegt, datt déi geluede Verbindung de Wäert weist, deen Dir gesat hutt, well eng geännert Datei, déi ni geluede gouf, näischt ännert. Schreift béid Nimm an hir Schichten an d’Implantatiounsnotizen.

Ähnlech Artikelen