strongSwan EAP: IKE identitāte pret gaidīto AAA nosaukumu

EAP autentifikācija pār IKEv2 var pieprasīt klientam vienā savienojumā validēt divus atšķirīgus servera nosaukumus. Vārteja, kas izbeidz IKE, uzrāda vienu identitāti, bet EAP aizmugure, kas izbeidz iekšējo TLS apmaiņu, var uzrādīt citu. strongSwan tie dzīvo dažādos konfigurācijas blokos, un nosaukuma ievietošana nepareizajā blokā rada kļūdu, kas izskatās pēc sertifikāta problēmas. Tieši tā izlasīšana, kura validācija neizdevās, pasaka, kuru bloku labot.

Viens savienojums, divas servera identitātes

Pirmā identitāte pieder IKE apmaiņai. Klients izsauc adresi un gaida, ka pretējā puse pierādīs noteiktu identitāti, parasti vārtejas sertifikātā esošo nosaukumu.

Otrā pieder EAP. Ar PEAP vai TTLS klients būvē TLS tuneli uz autentifikācijas serveri IKE SA iekšienē, un šis iekšējais serveris uzrāda savu sertifikātu. Ja aizmugure ir atsevišķs resursdators, tās nosaukums atšķiras no vārtejas nosaukuma. Klients, kas pārbauda tikai pirmo nosaukumu, pieņem visu, ko apgalvo otrais. Un klients, kas konfigurēts ar vienu nosaukumu abās vietās, neizdodas, tiklīdz tie divi tiešām atšķiras.

Abi nosaukumi nāk no operatora konfigurācijas, nevis no sertifikāta, kas likvidē kļūdu. Pajautāt operatoram izvietošanas detaļas ir ātrāk nekā uzminēt divus resursdatora nosaukumus.

Kurš lauks kurai slānim pieder

swanctl adrese un IKE identitāte ir atsevišķi iestatījumi, un EAP identitāte ir trešais.

Attālā adrese izvēlas, kurp iet paketes, un attālā identitāte norāda, kas pretējai pusei jāpierāda. EAP gaidījums tiek rakstīts zem local bloka, jo tas apraksta šī klienta EAP apmaiņu, nevis pretējās puses IKE uzvedību. Tieši šis izvietojums tiek lasīts nepareizi. Nosaukums atrodas klienta konfigurācijā, vienlaikus aprakstot serveri, un tāpēc tas izskatās nepareizā vietā.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Šis fragments nav pilnīgs savienojums; uzticības materiālam, akreditācijas datiem un pakārtoto savienojumu politikām vēl jābūt klāt. Tā burtiska kopēšana darba failā aizstātu iestatījumus, kas jums vēl vajadzīgi.

Kāpēc aaa_id dzīvo zem local

local bloks apraksta, ko šī puse dara autentifikācijas laikā, tostarp metodi, ko tā izmantos, un identitāti, ko tā gaida no otras puses šai metodei. Nekas tajā neapgalvo, ka AAA serveris darbojas tajā pašā mašīnā.

Noklusējuma vērtība padara slazdu asāku. Ja nav iestatīta skaidra vērtība, gaidītā AAA identitāte seko attālajai identitātei, tāpēc izvietošana ar vienu nosaukumu darbojas un slēpj atšķirību. Skaidra vērtība ir svarīga tikai tad, kad EAP izvietošana tiešām beidzas citur. Tās iestatīšana uz citu nosaukumu bez šī iemesla rada kļūdu, ko operators nevar reproducēt. Izlasiet izvietošanu pirms otrā nosaukuma izgudrošanas.

Turiet vērtību identisku tam, ko aizmugures sertifikāts tiešām apgalvo, tostarp nosaukuma formu. Beigu punkts vai aizstājējzīme, kas neaptver resursdatoru, ir pietiekami, lai pārbaude neizdotos.

Priekšgali, kas nespēj izteikt sadalījumu

NetworkManager profils nav tā pati konfigurācijas saskarne kā swanctl. Aiz tā esošais spraudnis piedāvā šaurāku identitātes vadīklas komplektu, un tas, kuri pastāv, ir atkarīgs no instalētās versijas.

Tas ir svarīgi, kad izvietošanai tiešām vajag divus nosaukumus. Laukums ar apzīmējumu servera identitāte var konfigurēt vienu slāni, bet ne otru, tāpēc profils var izskatīties pareizs un tomēr neizdoties iekšējā pārbaudē. Pārbaudiet, ko atbalsta instalētais spraudnis, pirms pieņemat, ka profils spēj izteikt šo izkārtojumu. Ja nevar, izvēle ir operatora ziņā: cits nodrošināšanas ceļš vai labots servera identitātes dizains. PEAP vājināšana vai jebkura nosaukuma pieņemšana maina autentifikācijas politiku, nevis to labo.

Alternatīva nav kaut kas klientā izgudrojams. Pieprasiet atbalstīto izkārtojumu rakstiski, tad glabājiet šo atbildi kopā ar profilu.

Atšķiriet identitātes neatbilstību no novecojuša sertifikāta

Nosaukuma neatbilstība un novecojis sertifikāts ir dažādas kļūdas, un žurnāls tās atšķir. Izlasiet ziņojumu pirms izlemjat, kuru lauku mainīt.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Paredzētās AAA identitātes iestatīšana neatjauno sertifikātu un neveido uzticību tā izdevējam, un sertifikāta atjaunošana neizlabo nepareizu gaidīto nosaukumu. Izlasiet, kura validācija neizdevās, pirms labojat vēl vienu identitātes lauku. Pēc tam pārlādējiet konfigurāciju un apstipriniet, ka ielādētais savienojums rāda jūsu iestatīto vērtību, jo rediģēts fails, kas nekad netika ielādēts, neko nemaina. Ierakstiet abus nosaukumus un to slāņus izvietošanas piezīmēs.