IKEv2 servera adrese pret identitāti: ko klients faktiski pārbauda

Vārteja, kas maina adresi, var turpināt darboties, kamēr tā pati vārteja aiz jauna sertifikāta apstājas, un notiek arī otrādi. Adrese norāda klientam, kur nosūtīt paketes; autentificētā identitāte norāda klientam, vai atbildētājs ir tas, kuram tam vajadzētu uzticēties. IKEv2 saglabā tos kā divus atsevišķus laukus, kas ir noderīgi, kad pārtraucat tos uzskatīt par vienu virkni. Tie ir arī konfigurēti dažādās vietās, tāpēc viens var būt pareizs, bet otrs ir nepareizs.

Pārbaudiet tos šādā secībā un apstājieties pie pirmās neatbilstības, jo vēlākajās pārbaudēs tiek pieņemts, ka iepriekšējās ir izturētas.

Pirmkārt, kura vērtība ir adrese

Savienojuma adrese ir jebkura klienta izvēlētā adrese: IP, DNS nosaukums, kas tiek pārveidots par vienu, vai slodzes līdzsvarots priekšgals. Tā ir informācija par transportu un nekas vairāk. Identitāte tiek izmantota IKEv2 ID derīgajā slodzē un pēc tam tiek saskaņota ar līdzīgā sertifikātu. Vārds DNS adreses lodziņā nekļūst par paredzamo identitāti, un neapstrādāts IP nekļūst par identitāti tikai tāpēc, ka ar to ir pievienota ligzda.

Runājot par strongSwan, adrese ir right vai left, un paredzamā identitāte ir rightid vai leftid, un tas ir aprakstīts IKEv2 konfigurācijas dokumentācijā. Ja esat kādreiz rediģējis tikai adresi, esat konfigurējis pusi no pāra.

Otrkārt, ko sertifikāts var pierādīt

Identitātei ir veids, un sertifikātam ir jābūt atbilstošam nosaukumam. DNS identitāti apmierina dNSName ieraksts tēmas alternatīvā nosaukuma paplašinājumā; IP identitātei ir nepieciešams iPAddress ieraksts. Sertifikāts, kas izsniegts par vpn.example.com, neko nepierāda par burtisko adresi 203.0.113.10, un sertifikāts, kas izsniegts par šo adresi, neko nepierāda par vārdu. Tāpēc atkārtota izdošana citam nosaukumam nav nomaiņa, pat ja tā pati atslēga un CA tiek izmantotas atkārtoti.

Mūsdienu klienti ignorē parasto nosaukumu, ja pastāv tēmas alternatīvais nosaukums, un daudzi to ignorē pilnībā. Ja sarakstā SAN nav ietverta klienta pārbaudītā vērtība, rokasspiediens neizdodas pēc tam, kad sertifikāts jau ir pieņemts kā uzticams, tāpēc žurnāls drīzāk skan kā identitātes kļūda, nevis uzticamības kļūda.

Treškārt, kā katrs klients izsaka cerības

Windows ņem jūsu ievadīto servera nosaukumu vai adresi, un sertifikātam ir jāatbilst tam, tāpēc, ierakstot IP, tiek radīts IP cerības. Android IKEv2 klients darbojas tāpat, un abi noraida derīgu, publiski uzticamu sertifikātu, kas nosauc citu resursdatoru. Profils var sākties neveiksmes tikai tāpēc, ka migrācijas laikā kāds ir aizstājis saimniekdatora nosaukumu ar tā adresi. Apskatiet, ko klients lūdza, pirms apskatāt sertifikāta saturu.

Uz strongSwan gaidīšana ir skaidra: iestatiet rightid uz identitāti, ko serveris faktiski uzrāda, kas var atšķirties no labās. Iestatot to uz %any, tiek pieņemts viss, ko piedāvā vienaudžs, un tiek noņemts tieši čeks, kuru mēģināt paturēt.

Ceturtkārt, atdaliet lietotāja pieteikšanos no vienaudžu identitātes

EAP autentifikācija un servera identitāte atbild uz dažādiem jautājumiem. EAP identitāte, piemēram, [email protected], norāda, kas ir lietotājs, pēc tam, kad klients ir nolēmis, ka serveris ir īstais. Šīs paroles pagriešana nevar novērst vienādranga identitātes neatbilstību, jo savienojums nekad nesasniedz lietotāja pieteikšanās stadiju.

Sanitārajā pārskatā jānosauc abi: klienta gaidītā identitāte, servera uzrādītā identitāte un sertifikāta SAN ieraksti.

Piektkārt, mainiet to, izmantojot verificētu kanālu

Kad vārteja tiek likumīgi pārvietota, vispirms atjauniniet adresi un atstājiet identitāti mierā, jo tas ir gadījumā IKEv2 ir labi apstrādājams. Kad pati identitāte mainās, uzskatiet to par uzticamības notikumu un iegūstiet jauno vērtību no avota, kuram jau uzticaties, nevis no galapunkta, kas pašlaik nedarbojas. Ziņojums, kas tiek piegādāts, izmantojot savienojumu, kuru mēģināt apstiprināt, nav pierādījums par šo savienojumu.

Profila piezīmēs ierakstiet kopā galīgo adresi, identitāti un SAN sarakstu. Nākamā persona, kas pieskaras sertifikātam, redzēs, kuram no trim ir atļauts pārvietoties.