iPhone IKEv2 į RouterOS: kuris identifikatorius kur kam
Keturi atskiri teiginiai nusprendžia iOS IKEv2 tunelį: renkamas adresas, tikimasi serverio tapatybė, deklaruojama kliento tapatybė ir sertifikato medžiaga.
Pasiekti MikroTik tinklų sietuvą išsprendžia tik IKEv2 diegimo transporto pusę ir nieko daugiau. Tada keturi atskiri teiginiai nusprendžia, ar tunelis susiformuos: adresas, kuriuo skambina telefonas, tikimasi serverio tapatybė, sau deklaruojama tapatybė ir sertifikato medžiaga, kuri pagrindžia tą teiginį. Tikrinkite juos šia tvarka ir sustokite ties pirmuoju, kuris nesutampa su tuo, ką pateikia sietuvas. Kiekvienas redaguojamas kitoje vietoje, todėl neteisingas redagavimas paprastai perkelia gedimą, o ne jį ištaiso.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Patikrinkite profilio laukus ta tvarka, kuria mainai juos naudoja
Nuotolinis adresas yra pirmo IKE paketo tikslas ir nieko daugiau. Nuotolinis identifikatorius yra tai, ką telefonas tikisi, kad sietuvas įrodys esąs, ir tai vardas, o ne maršrutas. Abiejų užpildymas tuo pačiu pagrindinio kompiuterio vardu veikia, kai sietuvo sertifikate yra tas vardas, ir nepavyksta taip, kad atrodo kaip maršrutizavimo problema, kai jo nėra. Skaitykite profilį kaip teiginių seką, o ne kaip laukų, kuriuos reikia užpildyti, sąrašą.
Vietinis identifikatorius yra paties telefono teiginys, ir jis turi būti vardas, kurį RouterOS tapatybės įrašas priima telefono pateikiamam kliento sertifikatui. Jei abu nesutampa, sietuvas atmeta ryšį po to, kai pats sertifikatas buvo patvirtintas, ir žurnalas atrodo kaip įgaliojimų, o ne pavadinimo problema.
Patikrinkite identifikatorius pagal tai, ką pateikia sietuvas
RouterOS partnerio įrašas, sukonfigūruotas sertifikato autentifikavimui, pateikia savo sertifikatą, ir jo tapatybė imama iš to sertifikato, nebent sukonfigūravote kitaip. Jei telefono nuotolinis identifikatorius nurodo sietuvo DNS vardą, sietuvo sertifikatui reikia to vardo vietoje, kurią telefonas priims, paprastai alternatyviame subjekto varde. Sertifikatas, išduotas kitam bendrajam vardui, nebus patvirtintas net jei raktas ir grandinė nepriekaištingi.
Tvarkomi Apple profiliai taip pat gali turėti sertifikato vardo apribojimą, kuris vertinamas papildomai prie identifikatoriaus laukų. Tikrinkite turinį, o ne spėkite patvirtinimo vardą iš to, ką rodo nustatymų ekranas, nes tai nėra tas pats nustatymas.
Patikrinkite, ar kliento sertifikatas yra raktas, o ne vien pasitikėjimo inkaras
CA sertifikato importavimas duoda telefonui kažką, kuo jis gali patvirtinti sietuvą. Tai nesuteikia telefonui kliento tapatybės, o sertifikato autentifikavimui reikia kliento lapo sertifikato ir jo privataus rakto, pateiktų kartu patvirtintu registracijos keliu. PKCS#12, sukurtas be privataus rakto, duoda profilį, kuris įdiegiamas švariai ir nieko neautentifikuoja.
Kliento lapui taip pat reikia tapatybės, kurios tikisi RouterOS pusė, tai reiškia, kad subjektas arba alternatyvus subjekto vardas turi atitikti atitinkamą tapatybės konfigūraciją. Kliento ir serverio sertifikatų išdavimas iš vienos CA padaro grandinę patogią ir nepadaro dviejų lapų keičiamų.
Patikrinkite, ar RouterOS politika priima tą vardą
Sietuve partnerio įrašas nustato mainų režimą ir autentifikavimo metodą, o tapatybės įrašas susieja priimtą nuotolinę tapatybę su sertifikatu ir su politika, kuri eina po to. RouterOS v7 ši pora išreiškiama IPsec partnerio ir tapatybės įrašais, pavyzdžiui, IKEv2 partneris su auth-method=digital-signature. Tikrinkite tikrąjį meniu turinį savo įdiegtoje versijoje, o ne vadovą, parašytą senesnei.
Čia neatitikimą ir pigiausia ištaisyti, nes sietuvas gali pasakyti ir gautą, ir norimą tapatybę. Priimamos tapatybės išplėtimas, siekiant nutildyti klaidą, pašalina ryšį, kuris suteikė diegimui prasmę.
Patikrinkite, kuriame etape įvyko gedimas, prieš ką nors redaguodami
Perskaitykite bandymą abiejuose galuose ir klasifikuokite jį prieš keisdami pasiūlymą. Pasiūlymo neatitikimas, trūkstamas parašo raktas, nepatikimas išdavėjas, neteisingas partnerio identifikatorius ir atmestas kliento įgaliojimas iš telefono atrodo kaip negyvas tunelis, ir kiekvienas turi skirtingą savininką. Visų penkių nustatymų pakeitimas iš karto garantuoja, kad iš rezultato nieko nesužinosite.
Užrašykite pateiktą tapatybę, laukiamą tapatybę, sertifikato išdavėją ir serijos numerį bei atitinkamos politikos pavadinimą, o privačius raktus ir profilio paslaptis laikykite už to įrašo ribų. Kai autentifikavimas pavyksta, išbandykite privačią paslaugą ir jos atsakymą, nes adresų priskyrimas, selektoriai, DNS ir prieigos politika turi veikti ir pasibaigus IKE mainams.