IKE таних тэмдэг эсвэл эцсийн цэгийн хаяг: тэдгээрийг бүү холиё
FQDN төрлийн IKE таних тэмдэг нь шууд утгаар илэрхийлэгдэх баталгаажуулалтын утга бөгөөд урвуу DNS хайлт биш. Эцсийн цэгийн хаяг, локал таних тэмдэг болон хүлээгдэж буй peer-ийг тусдаа бариарай.
FQDN таних тэмдэг гэж шошгосон талбарыг шууд утгаар илэрхийлэгдэх мөр гэж уншина уу, өөрийн нийтийн хаягийн урвуу DNS нэрийн хүсэлт гэж биш. strongSwan-ийн задлагчид энэ нь яг тэр, мөр бөгөөд уншихад хэзээ ч эцсийн цэг болж задлагдахгүй. Энэ баримт л peer-д зориулсан танигчийг сонгох үед хамгийн түгээмэл анхаарал сарниулагчийг арилгадаг. Доорх шалгалтууд холбогдох гурван утга нэг болж нийлэхээс сэргийлнэ.
Шошго бол хайлт биш
Үйлдвэрлэгчдийн интерфейс FQDN, hostname зэрэг үгсийг сул хэрэглэдэг бөгөөд хайрцаг дээрх шошго түүний ард байгаа кодчилолын талаар юу ч хэлдэггүй. Талбарыг Client FQDN гэж нэрлэдэг төхөөрөмж FQDN, имэйл хэлбэрийн мөр эсвэл нүцгэн хаяг илгээж болно. Текст болон төрлийг хоёр тусдаа шийдвэр гэж үзэж, хоёуланг нь бичиж тэмдэглээрэй.
Шууд утгаар илэрхийлэгдэх таних тэмдэгт DNS шаардагдах зүйл байхгүй. Энэ нь нөгөө тал шалгадаг мэдэгдэл бөгөөд сүлжээ шийдэх ёстой нэр биш.
Гурван тусдаа утга, тусдаа бичигдэнэ
Нэг тохиргооны дэлгэцийн ард гурван ажил байдаг бөгөөд тэдгээрийг нэгтгэх нь үнэтэй алдаа юм. Нэг утга нь пакетууд хаашаа явахыг шийддэг эцсийн цэгийн хаяг. Нөгөө нь энэ peer-ийн танилцуулж буй локал таних тэмдэг, гурав дахь нь түүнийг баталгаажуулахаас өмнө алсын талаас хүлээж буй таних тэмдэг юм. Тэдгээрийг өөрчлөлтийн тасалбарт гурван мөрөөр бичээрэй, учир нь үүнээс бага зүйл харилцаа биш, VPN-ийг дүрсэлдэг.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Жишээ таних тэмдгүүдийг байршуулалтын хэсэг болгон сонгож, зөвшөөрөх ёстой. Тэдгээр нь баталгаажуулалт шалгадаг мэдэгдэл бөгөөд аль ч peer-ийг итгэмжлэх боломжтой болгох итгэмжлэл биш тул итгэмжлэхүйц харагдах мөр юуг ч зөвшөөрөхгүй.
Төрөл нь утгын нэг хэсэг
strongSwan таних тэмдгийн лавлагаа нь FQDN, имэйл хэлбэрийн утга, IP хаяг болон бусад кодчилолыг ялгадаг тул кодчилол тэмдэгтүүд шиг л чухал. Хоёр төхөөрөмж ижил текстийг өөр өөр төрлөөр хүлээж авч, гэсэн хэдий ч бие биеэсээ татгалзаж болно. Төрлийгүйгээр утгыг тэмдэглэсэн тэмдэглэл нь хагас тохиргоо юм.
Төхөөрөмж яг ямар төрөл илгээдэг талаар үйлдвэрлэгчээс асууж, интерфейсийн шошгоор биш, тайлж унших замаар баталгаажуулаарай. Таамагласан төрөл нь дараагийн өөрчлөлтийг хүлээж буй зөрчил юм.
Хоёр тал бие биеэ хангах ёстой
Тал бүрийн локал таних тэмдэг нь нөгөө талын баталгаажуулалтын бодлогыг давах ёстой. Энэ нь хоёр төхөөрөмжийн бүх таних тэмдгийн нүдэнд нэг мөр наахтай ижил биш бөгөөд тэр богино зам нь хэн ч дибаг хийж чадахгүй тохиргоог үүсгэдэг.
Гэрчилгээгээр баталгаажуулах нь өөрийн шаардлагыг нэмдэг, учир нь гэрчилгээний таних тэмдэг болон итгэлцлийн нөхцөл таны оруулсан IKE таних тэмдгийн хажууд байрладаг. Зөвхөн IKE таних тэмдгийн тохирол нь гэрчилгээтэй peer-ийг зөвшөөрөхгүй.
DNS хаана чухал вэ, таны хувилбар юуг шаарддаг вэ
Илрүүлэхэд ашигладаг гарцын hostname-д үнэхээр ажилладаг DNS хэрэгтэй бөгөөд тэр шаардлага нь эцсийн цэгийг олоход хамаарах бөгөөд оруулсан таних тэмдгийн ямар нэг урвуу хайлтад биш. Тасалбарт хоёуланг нь тусдаа бариарай, учир нь илрүүлэлтийн алдаа болон таних тэмдгийн зөрчил нь клиентийн логт ижил төстэй уншигддаг бөгөөд өөр өөр газарт засагддаг.
Төрөл шаарддаг синтаксийг хуулахаас өмнө таны үнэхээр ажиллуулж буй бүтээгдэхүүн болон хувилбарын задлагчийг уншаарай, учир нь хуучин strongSwan хувилбарууд өөрөөр ажилладаг байсан бөгөөд бусад үйлдвэрлэгчид өөрийн хязгаарлалтыг нэмдэг. Хоёр төгсгөлийг харьцуулахдаа дөрвөн зүйлийг хамт бариарай: хүлээгдэж буй таних тэмдэг, танилцуулсан таних тэмдэг, төрөл болон баталгаажуулалтын алдаа. Энэ багц нь зөрчлийг санал бодол биш, нотолгоо болгоно.