IKE tapatybė ar galinio taško adresas: nepainiokite jų
FQDN tipo IKE tapatybė yra pažodinis autentifikavimo duomuo, o ne atvirkštinė DNS užklausa. Laikykite atskirai galinio taško adresą, vietinę tapatybę ir laukiamą peer.
Lauką, pažymėtą FQDN tapatybe, skaitykite kaip pažodinę eilutę, o ne kaip užklausą dėl jūsų viešojo adreso atvirkštinio DNS vardo. strongSwan analizatoriuje tai yra būtent tai, eilutė, ir jos skaitymas niekada nepaverčia jos galiniu tašku. Vien šis faktas pašalina dažniausią blaškymą, kai renkatės identifikatorius peer. Toliau pateiktos patikros neleidžia trims susijusioms reikšmėms susilieti į vieną.
Etiketė nėra užklausa
Tiekėjų sąsajos vartoja tokius žodžius kaip FQDN ir hostname laisvai, o etiketė ant dėžutės nieko nesako apie už jos esantį kodavimą. Įrenginys, kuris lauką vadina Client FQDN, gali siųsti FQDN, el. pašto formos eilutę arba pliką adresą. Traktuokite tekstą ir tipą kaip du atskirus sprendimus ir užrašykite abu.
Niekas pažodinėje tapatybėje nereikalauja DNS. Tai teiginys, kurį tikrina kita pusė, o ne vardas, kurį turi išspręsti tinklas.
Trys atskiros reikšmės, užrašytos atskirai
Už vieno konfigūracijos ekrano slypi trys užduotys, ir jų suliejimas yra brangi klaida. Viena reikšmė yra galinio taško adresas, kuris nusprendžia, kur paketai keliauja. Kita yra vietinė tapatybė, kurią pateikia šis peer, o trečioji yra tapatybė, kurios tikitės iš tolimosios pusės, kol jos dar neautentifikavote. Užrašykite jas trimis eilutėmis pakeitimo biliete, nes bet kas mažiau apibūdina VPN, o ne santykį.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Pavyzdines tapatybes reikia pasirinkti ir autorizuoti kaip diegimo dalį. Tai teiginiai, kuriuos tikrina autentifikavimas, o ne prisijungimo duomenys, kurie padarytų bet kurį peer patikimu, todėl įtikinamai atrodanti eilutė nieko neautorizuoja.
Tipas yra reikšmės dalis
strongSwan tapatybių nuoroda atskiria FQDN, el. pašto formos reikšmes, IP adresus ir kitus kodavimus, todėl kodavimas svarbus tiek pat, kiek simboliai. Du įrenginiai gali priimti tą patį tekstą pagal skirtingus tipus ir vis tiek vienas kitą atmesti. Pastaba, kuri užrašo reikšmę be jos tipo, yra pusė konfigūracijos.
Paklauskite tiekėjo, kokį tipą įrenginys iš tikrųjų siunčia, ir patvirtinkite tai dekodavimu, o ne sąsajos etikete. Spėjamas tipas yra neatitikimas, laukiantis kito pakeitimo.
Kiekviena pusė turi patenkinti kitą
Kiekvienos pusės vietinė tapatybė turi praeiti kitos pusės autentifikavimo politiką. Tai nėra tas pats, kas įklijuoti vieną eilutę į kiekvieną tapatybės laukelį abiejuose įrenginiuose, o tai yra trumpasis kelias, sukuriantis konfigūraciją, kurios niekas negali derinti.
Autentifikavimas sertifikatu prideda savo reikalavimus, nes sertifikato tapatybė ir pasitikėjimo sąlygos stovi šalia jūsų įvestos IKE tapatybės. Vien IKE tapatybės sutapimas neautorizuoja peer su sertifikatu.
Kur DNS svarbus ir ką primeta jūsų versija
Tinklų sietuvos hostname, naudojamas aptikimui, tikrai reikia veikiančio DNS, ir tas reikalavimas priklauso galinio taško paieškai, o ne kokiai nors įvestos tapatybės atvirkštinei užklausai. Laikykite abu atskirai biliete, nes aptikimo gedimas ir tapatybės neatitikimas kliento žurnale skaitomi panašiai ir taisomi skirtingose vietose.
Perskaitykite to produkto ir versijos analizatorių, kurią iš tikrųjų naudojate, prieš kopijuodami sintaksę, kuri primeta tipą, nes senesni strongSwan leidimai elgėsi kitaip, o kiti tiekėjai prideda savo apribojimų. Kai lyginate du galus, laikykite keturis dalykus kartu: laukiamą tapatybę, pateiktą tapatybę, tipą ir autentifikavimo klaidą. Šis rinkinys paverčia neatitikimą įrodymu, o ne nuomone.