IKEv2 сертификатын SAN: таних шалгалт яагаад бүтэлгүйтдэг

Таны сертификат итгэмжлэгдсэн CA-тай гинжин холбоотой, огноо нь зөв, гэтэл peer нь таних алдаатайгаар 1-р үе шатыг дуусгахаас татгалсаар байна. Хүртээмж ба хүчинтэй гарын үсэг нь IKEv2 клиент шалгадгийн зөвхөн хагас юм. Нөгөө хагас нь түүний хүлээж буй таних мэдээлэл сертификатад зөв талбарт гарч байгаа эсэх бөгөөд энэ хүлээлтийг профайл тогтоодог, сертификатын файлын нэр биш.

Шинж тэмдэг нь үргэлж ижил хэлбэртэй

Холболтын профайлыг хостын нэрнээс IP хаяг руу өөрчилсөн, эсвэл DNS нэр агуулж байсан сертификатаас зөвхөн хаяг агуулсан сертификат руу шинэчилсэн үедтуннель хэлэлцээ хийхээ болино. Сүлжээний замд юу ч өөрчлөгдөөгүй. Клиент peer-т хүрч, сертификат авч, peer-ийн таних мэдээллийг үгүйсгэдэг, учир нь түүнд хүлээх гэж хэлсэн танигч нь түүний хүлээн авдаг талбарт дүрслэгдээгүй байна. Солих сертификат нь ихэвчлэн сольж буй сертификатаас өөр загвараас ирдэг тул шинэчлэлт нь ердийн шалтгаан болдог.

Дараа нь хоёр тал ашиггүй зүйл бүртгэдэг, тиймээс эвдрэлийг ихэвчлэн сертификатын асуудал гэж мэдээлдэг. Клиентийн лог хүссэн таних мэдээллийг нэрлэж болно, тэр нэр нь танд хэрэгтэй сэжүүр, дуусах огноо биш.

Танигчийн төрлийг тааруул, зөвхөн утгыг биш

dNSName SAN ба iPAddress SAN нь өөр өөр тохируулах дүрэмтэй өөр талбарууд тул 203.0.113.10-ыг DNS мөр болгон агуулсан сертификат нь IP таних мэдээлэл хүлээж буй клиентийг хангахгүй. Орчин үеийн баталгаажуулагчид нийтлэг нэрийг ихэвчлэн үл тоомсорлодог тул сертификатын дэлгэрэнгүй дэх ээлтэй шошго нь юу тохирохыг нотлохгүй. Хэрэв алдааг засах үед хостын нэрийг хаягаар сольсон бол шалгах хүртэл хүлээгдэж буй таних мэдээлэл түүнтэй хамт шилжсэн гэж үзээрэй. Профайл дахь мөрийг SAN дахь мөртэй тэмдэгт тэмдэгтээр харьцуул, учир нь төгсгөлийн цэг эсвэл илүүдэл зай хангалттай.

Wildcard нь зөвхөн DNS-ийн тав тух бөгөөд өөрийн тохируулах дүрмийг дагадаг, энэ нь IP-д суурилсан профайл хэзээ ч тэдгээрт найдах ёсгүй өөр нэг шалтгаан юм.

Клиент бүр хүлээлтийг хаана хадгалдагийг олоорой

strongSwan-д сертификаттай харьцуулагдах утга нь peer-ийн таних тохиргооноос гардаг: rightid сонгодог тохиргоонд, эсвэл id swanctl дахь алсын холболтын хэсгийн id-ээс. Apple IKEv2-ийн харилцан ажиллагааны тухай түүний баримт бичиг энд ашигтай, учир нь профайлаар удирдуулсан клиентийн хэрэглэдэг таних уламжлалыг тайлбарладаг, тэдгээр уламжлал нь сүлжээнд санамсаргүй мэт харагдах зөрчлийн ангиллыг тайлбарладаг.

Apple-ийн тохиргооны профайлууд алсын танигчийн талбарыг агуулдаг бөгөөд тэнд байгаа утгыг клиент шалгадаг, холболтын тохиргоон дахь серверийн хаягийг биш. Windows болон төхөөрөмжийн клиентүүд тус бүр өөрийн талбар, өөрийн анхдагч утгатай бөгөөд анхдагч нь ихэвчлэн таны бичсэн хаягийг дагадаг. Хоёр талбар зөрчилдвөл клиентийн бодитоор уншдаг нь ялдаг, тэр нь таны зассан талбар байх нь ховор.

Профайл эсвэл сертификатыг санаатайгаар зас

Ямар нэгэн зүйлийг өөрчлөхөөс өмнө зөвшөөрөгдсөн хэрэгслээр peer-ийн сертификатыг шалгаж, SAN бичлэгүүдийг төрлүүдтэй нь хамт жагсаа. Тэр шалгалтад хувийн түлхүүр ч, байршуулалт ч шаардлагагүй бөгөөд асуудлыг секундын дотор шийддэг. Хэрэв байршуулалт нэг DNS таних мэдээлэл зориулж байгаа бол сертификат түүнийг dNSName бичлэгээр агуулах ёстой, харин байршуулалт хаяг зориулж байгаа бол сертификатад яг тэр хаягийн iPAddress бичлэг хэрэгтэй.

Сертификат буруу бол оператороос тодорхой хүлээгдэж буй танигчийг зааж зассан сертификат хүс. Профайл буруу бол профайлыг засаж, сертификатыг хөндөхгүй орхи. Таних баталгаажуулалтыг унтраах нь алдааг арилгаж, туннель таны зорьсон peer-тэй ярьж байгаа шалгалтыг мөн арилгадаг.

Клиент платформ бүрийн хүлээгдэж буй таних мэдээллийг баримтжуул, учир нь нэг клиентийн автоматаар гаргаж буй утгыг нөгөөд нь тодорхой заах шаардлагатай байж болно.

Шинэчлэх хүсэлтэд дөрвөн баримт өг

Хүлээгдэж буй танигч ба түүний төрөл, одоогийн сертификатад бодитоор байгаа SAN бичлэгүүд, шалгалт хийж буй клиент ба хувилбар, алдааны яг текстийг бичиж аваарай. Энэ дөрвөн мөрөөс бүрдсэн шинэчлэх хүсэлт эхний удаад зөв сертификатыг авдаг, мөн адил танил файлын нэртэй өөр сертификат биш.