IKE identitāte vai galapunkta adrese: nejauciet tās
FQDN tipa IKE identitāte ir burtiska autentifikācijas vērtība, nevis apgriezta DNS meklēšana. Turiet atsevišķi galapunkta adresi, vietējo identitāti un gaidīto peer.
Lasiet lauku ar apzīmējumu FQDN identitāte kā burtisku virkni, nevis kā pieprasījumu pēc jūsu publiskās adreses apgrieztā DNS nosaukuma. strongSwan parsētājā tas ir tieši tas, virkne, un tā lasīšana to nekad neatrisina par galapunktu. Vien šis fakts novērš visbiežāk sastopamo uzmanības novēršanu, kad izvēlaties identifikatorus peer. Tālāk minētās pārbaudes neļauj trim iesaistītajām vērtībām saplūst vienā.
Apzīmējums nav meklēšana
Piegādātāju saskarnes lieto tādus vārdus kā FQDN un hostname brīvi, un etiķete uz kastes neko nepasaka par kodējumu aiz tās. Ierīce, kas lauku sauc par Client FQDN, var nosūtīt FQDN, e-pasta formas virkni vai kailu adresi. Uztveriet tekstu un tipu kā divus atsevišķus lēmumus un pierakstiet abus.
Nekas burtiskā identitātē neprasa DNS. Tas ir apgalvojums, ko pārbauda otra puse, nevis nosaukums, kas tīklam jāatrisina.
Trīs atsevišķas vērtības, atsevišķi rakstītas
Aiz viena konfigurācijas ekrāna slēpjas trīs darbi, un to sapludināšana ir dārgā kļūda. Viena vērtība ir galapunkta adrese, kas nosaka, kurp iet paketes. Cita ir vietējā identitāte, ko uzrāda šis peer, un trešā ir identitāte, ko gaidāt no tālās puses pirms tās autentificēšanas. Pierakstiet tās kā trīs rindas izmaiņu biļetenā, jo jebkas mazāk apraksta VPN, nevis attiecības.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Piemēra identitātes jāizvēlas un jāautorizē kā izvietošanas daļa. Tie ir apgalvojumi, ko pārbauda autentifikācija, nevis akreditācijas dati, kas padarītu jebkuru peer uzticamu, tāpēc ticami izskatoša virkne neko neautorizē.
Tips ir daļa no vērtības
strongSwan identitāšu uzziņa atdala FQDN, e-pasta formas vērtības, IP adreses un citus kodējumus, tāpēc kodējums ir tikpat svarīgs kā rakstzīmes. Divas ierīces var pieņemt vienu un to pašu tekstu ar dažādiem tipiem un tomēr viena otru atteikt. Piezīme, kas fiksē vērtību bez tās tipa, ir puse konfigurācijas.
Jautājiet piegādātājam, kādu tipu ierīce faktiski sūta, un apstipriniet to ar atkodēšanu, nevis saskarnes etiķeti. Uzminēts tips ir neatbilstība, kas gaida nākamo izmaiņu.
Katrai pusei jāapmierina otra
Katras puses vietējai identitātei jāiztur otras puses autentifikācijas politika. Tas nav tas pats, kas ielīmēt vienu virkni katrā identitātes laukā abās ierīcēs, kas ir saīsne, kas rada konfigurāciju, ko neviens nevar atkļūdot.
Autentifikācija ar sertifikātu pievieno savas prasības, jo sertifikāta identitāte un uzticēšanās nosacījumi stāv blakus jūsu ievadītajai IKE identitātei. Tikai IKE identitātes sakritība neautorizē peer ar sertifikātu.
Kur DNS ir svarīgs un ko uzspiež jūsu versija
Vārtejas hostname, ko izmanto atklāšanai, tiešām nepieciešams strādājošs DNS, un šī prasība pieder galapunkta atrašanai, nevis kādai ievadītās identitātes apgrieztai meklēšanai. Turiet abus atsevišķi biļetenā, jo atklāšanas kļūme un identitātes neatbilstība klienta žurnālā lasās līdzīgi un tiek labotas dažādās vietās.
Izlasiet tā produkta un versijas parsētāju, ko jūs faktiski darbināt, pirms kopējat sintaksi, kas uzspiež tipu, jo vecāki strongSwan laidieni uzvedās citādi un citi piegādātāji pievieno savus ierobežojumus. Salīdzinot abus galus, turiet kopā četras lietas: gaidīto identitāti, uzrādīto identitāti, tipu un autentifikācijas kļūdu. Šis kopums pārvērš neatbilstību pierādījumā, nevis viedoklī.