IKEv2 солилцоо ажиллаад, дараа нь баталгаажуулалт бүтэлгүйтэх үед: хаанаас хайх вэ

IKEv2 хариу хүлээн авсан клиент нь гарц хүртээмжтэй, хоёр тал санал дээр хэлэлцэж чадна, анхны түлхүүр солилцоо дууссан гэдгийг нотолсон. Гэхдээ хэн нэгэн баталгаажсан гэдгийг нотолж чадаагүй. Дараагийн солилцоо нь таних мэдээлэл, гэрчилгээ эсвэл EAP-г дамжуулдаг бөгөөд холболт ихэвчлэн тэнд зогсдог. Эдгээр шалгалтын аль нь бүтэлгүйтсэнийг унших нь бүх оношлогоо бөгөөд зөвхөн алдааны мессеж үүнийг ховор хэлдэг.

Шалгалт 1: мессежийг биш, үе шатыг уншина уу

Татгалзал гурван газраас ирж болно: клиент серверийн таних мэдээллийг татгалзах, гарц клиентийн нотолгоог татгалзах, гадаад баталгаажуулалтын үйлчилгээ бүртгэлийг татгалзах.

Тус бүр өөр машин дээр өөр лог мөр үүсгэдэг бөгөөд тус бүр өөр шийдэлтэй. Клиентийн талаас серверийн гэрчилгээг татгалзах нь клиент дээрх итгэл эсвэл нэршилийн асуудал; гарцын талаас клиентийн гэрчилгээг татгалзах нь гарц дээрх итгэлийн асуудал; EAP-ийн бүтэлгүйтэл нь бүртгэл эсвэл backend-ийн асуудал. Таны харж буй мессеж нь ихэвчлэн клиентийн тэдгээрийн нэг тухай дүгнэлт тул гарцын лог нь клиентийн логтой адил чухал.

Шалгалт 2: аль таних мэдээлэл шалгагдсан бэ

Клиент нь хэрэглэгчийн ямар ч итгэмжлэл санал болгохоос өмнө серверийн гэрчилгээ эсвэл хүлээгдэж буй таних мэдээллийг татгалзаж болох бөгөөд ажиллаж буй серверийн хаяг тэр шалгалтыг орлохгүй. Клиентийн хүлээж буй танигч нь гарцын танилцуулж буйтай тохирох ёстой, энэ нь сүлжээний бус, тохиргооны баримт.

strongSwan-ийн нэр томьёогоор энэ нь клиент дээрх rightid болон нөгөө талд гарцын өөрийн таних мэдээлэл бөгөөд EAP хэлэлцэхээс өмнө л зөрүү бүтэлгүйтдэг.

Гарц нь тусад нь клиентийн гэрчилгээ, түүний түлхүүрийн нотолгоо эсвэл бүртгэлийн баталгаажуулалтыг татгалзаж болох бөгөөд эдгээр гурав нь харилцан солигддоггүй. Хэрэглэгчийн нууц үгийг шинэчлэх нь төхөөрөмжийн гэрчилгээг шинэчлэхгүй, төхөөрөмжийн гэрчилгээг дахин суулгах нь буруу серверийн таних мэдээллийг засахгүй. Гэрчилгээний бүтэлгүйтлийн үед эхлээд цагийг, дараа нь итгэлийн гинжийг, эцэст нь хүлээгдэж буй танигчийг шалгана уу; цаг нь хэдэн минутаар зөрсөн клиент итгэлийн бүтэлгүйтэл мэт харагдах хүчинтэй байдлын шалгалтад унадаг. swanctl --list-certs хоёр төгсгөлд тал бүр юу эзэмшиж байгааг харуулна.

Шалгалт 3: хэрэв EAP оролцож байвал

Клиент болон сервер дэмжигдсэн аргад санал нэгдэх ёстой бөгөөд backend нь өгөгдсөн таних мэдээллийг хүлээн авах ёстой.

Хэрэглэгчийн нэрэнд домэйн дагавар эсвэл байршуулалтын шаарддаг тодорхой бүртгэлийн формат хэрэгтэй байж болох бөгөөд формат нь таамаглах боломжгүй, баримтжуулсан. Операторын баримтжуулсан талбаруудыг өгөх нь хувилбаруудыг туршихоос хурдан бөгөөд хоёр дахь асуудлаас зайлсхийлгэдэг: давтан оролдлого бүртгэлийг түгжиж болох бөгөөд энэ нь анхны үе шатыг шинэ бүтэлгүйтлийн ард нуудаг. Хэрэв арга нь лавлахын эсрэг EAP-MSCHAPv2 бол бүтэлгүйтэл нь VPN-ийн бус, лавлахын байж болно.

Таних мэдээллийн шалгалтыг унтрааж таних мэдээллийн асуудлыг шалгаж болохгүй. Энэ нь оношлох боломжтой бүтэлгүйтлийг оношлох боломжгүй болгож, холболтыг өмнөхөөс сул орхидог.

Шалгалт 4: амжилттай нэвтрэлтийн дараа юу болдог

IKE_AUTH дууссаны дараа CHILD_SA-ийн хэлэлцээр аль урсгалын сонгогчийг суулгахыг шийддэг бөгөөд яг тэнд холболт амжилттай болсон ч юу ч дамжуулахгүй байж болно.

Шинээр ажиллаж эхэлсэн нэвтрэлт нь өмнө нь баталгаажуулалтын бүтэлгүйтлийн ард нуугдаж байсан сонгогч эсвэл маршрутын асуудлыг илрүүлдэг. Туннель боссон ч програмын зорьсон газартаа хүрч чадахгүй бол дахин таних мэдээлэл рүү биш, хэлэлцсэн сонгогч ба маршрутууд руу харна уу. Тэр үед таних мэдээллийн тохиргоог өөрчлөх нь буруу үе шатыг онилж, ихэвчлэн ажиллаж буй нэвтрэлтийг эвддэг. swanctl --list-sas-аар баталгаажуулна уу, энэ нь IKE SA-аас тусад нь хүүхдүүд болон тэдний сонгогчдыг харуулна.

Шалгалт 5: дэмжлэгт юу өгөх вэ

Цэвэрлэсэн хугацааны шугам болон нарийн татгалзал нь бүрэн оношлогооны экспортоос илүү үнэ цэнэтэй бөгөөд экспортод хуваалцах ёсгүй хувийн түлхүүр эсвэл итгэмжлэл агуулагдаж болно.

Цагийг цагийн бүсээр, клиент болон гарцын хувилбаруудыг, аргыг, нууц үгийн оронд санал болгосон таних мэдээллийн мөрийг, түүнийг татгалзсан нарийн үе шатыг тэмдэглэнэ үү. strongSwan-ийн IKEv2 тохиргооны баримт бичиг эдгээр үр дүнг шийддэг таних мэдээлэл болон EAP тохиргоог тайлбарладаг бөгөөд талбарыг өөрчлөхөөс өмнө унших ёстой лавлагаа нь энэ юм. Дараа нь нэг зүйлийг өөрчилж, шинэ холболтыг дахин шалгана уу, учир нь кэшлэгдсэн сесс танд хуучин тохиргооны тухай хэлэх болно.