IKE идентитет или адреса на крајна точка: не ги мешајте
IKE идентитет од типот FQDN е буквална вредност за автентикација, а не обратно DNS пребарување. Одделете ја адресата на крајната точка, локалниот идентитет и очекуваниот peer.
Читајте поле означено како FQDN идентитет како буквален стринг, а не како барање за обратното DNS име на вашата јавна адреса. Во парсерот на strongSwan тоа е точно тоа, стринг, и читањето никогаш не го решава во крајна точка. Самиот тој факт ја отстранува најчестата пречка кога избирате идентификатори за peer. Проверките подолу спречуваат трите вклучени вредности да се слеат во една.
Ознаката не е пребарување
Интерфејсите на производителите ги користат зборовите FQDN и hostname опуштено, а ознаката на кутијата не кажува ништо за кодирањето зад неа. Уред што поле го нарекува Client FQDN може да испрати FQDN, стринг во форма на е-пошта или гола адреса. Третирајте ги текстот и типот како две одделни одлуки и запишете ги двете.
Ништо во буквалниот идентитет не бара DNS. Тоа е тврдење што го проверува другата страна, а не име што мрежата мора да го реши.
Три одделни вредности, запишани одделно
Три работи стојат зад еден екран за конфигурација, а нивното спојување е скапата грешка. Една вредност е адресата на крајната точка, која одлучува каде одат пакетите. Друга е локалниот идентитет што го презентира овој peer, а третата е идентитетот што го очекувате од далечната страна пред да го автентицирате. Запишете ги како три линии во тикетот за промена, зашто сѐ помалку од тоа опишува VPN, а не однос.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Примерните идентитети мора да бидат избрани и авторизирани како дел од распоредувањето. Тие се тврдења што автентикацијата ги проверува, а не акредитиви што би го направиле секој peer доверлив, па стринг што изгледа веродостојно не авторизира ништо.
Типот е дел од вредноста
референца за идентитети на strongSwan ги одделува FQDN, вредностите во форма на е-пошта, IP адресите и другите кодирања, па кодирањето е исто толку важно како знаците. Два уреда можат да го прифатат истиот текст под различни типови и сепак да се одбијат меѓусебно. Белешка што ја запишува вредноста без нејзиниот тип е половина конфигурација.
Прашајте го производителот кој тип уредот навистина го испраќа и потврдете го со декодирање, а не со ознаката на интерфејсот. Погоден тип е несовпаѓање што чека следна промена.
Секоја страна мора да ја задоволи другата
Локалниот идентитет на секоја страна мора да ја помине политиката за автентикација на другата страна. Тоа не е исто како лепење на еден стринг во секое поле за идентитет на двата уреда, што е кратенката што создава конфигурација што никој не може да ја дебагира.
Автентикацијата со сертификат додава свои барања, зашто идентитетот на сертификатот и условите за доверба стојат покрај IKE идентитетот што сте го внеле. Само совпаѓање на IKE идентитет не авторизира peer со сертификат.
Каде DNS е важен и што наметнува вашата верзија
Hostname на порта што се користи за откривање навистина бара функционален DNS, а тоа барање припаѓа на наоѓањето на крајната точка, а не на некое обратно пребарување на внесен идентитет. Држете ги двете одделно во тикетот, зашто неуспехот при откривање и несовпаѓањето на идентитетот се читаат слично во дневникот на клиентот и се поправаат на различни места.
Прочитајте го парсерот за производот и верзијата што навистина ја извршувате пред да копирате синтакса што наметнува тип, бидејќи постарите изданија на strongSwan се однесуваа поинаку и други производители додаваат свои ограничувања. Кога ги споредувате двата краја, држете четири работи заедно: очекуван идентитет, презентиран идентитет, тип и грешката при автентикација. Тој сет го претвора несовпаѓањето во доказ наместо во мислење.