IKEv2 серверийн хаяг болон таниулбар: үйлчлүүлэгч яг юуг шалгадаг вэ
Хаяг нь хаана залгахыг хэлдэг; таних тэмдэг нь аль үе тэнгийнхнийг хүлээн зөвшөөрөхийг хэлдэг. Тэдгээрийг холих нь нүүсэн гарц эсвэл шинэ гэрчилгээ яагаад эвдэрдэг вэ IKEv2.
Хаягаа өөрчилдөг гарц нь шинэ гэрчилгээний ард зогссон ижил гарц зогсоход эсрэгээрээ ажиллах боломжтой. Хаяг нь үйлчлүүлэгчид пакетуудыг хаашаа илгээхийг хэлдэг; Баталгаажсан таних тэмдэг нь үйлчлүүлэгчийн хариултанд итгэх ёстой хүн мөн эсэхийг хэлж өгдөг. IKEv2 нь эдгээрийг хоёр тусдаа талбар болгон хадгалдаг бөгөөд энэ нь таныг нэг мөр гэж үзэхээ больсны дараа хэрэг болно. Тэд бас өөр өөр газар тохируулагдсан байдаг тул нэг нь зөв байхад нөгөө нь буруу байж болно.
Эдгээрийг дарааллаар нь шалгаад эхний таарахгүй үед зогсоо, учир нь дараагийн шалгалтууд нь өмнөх шалгалтуудыг давсан гэж үздэг.
Нэгдүгээрт, аль утга нь хаяг юм
Холболтын хаяг нь үйлчлүүлэгчийн залгасан зүйлээс үл хамаарна: IP, нэгээр шийдэгддэг DNS нэр эсвэл ачааллын тэнцвэржүүлсэн урд тал. Энэ бол тээврийн мэдээлэл, өөр юу ч биш. Энэ таних тэмдэг нь IKEv2 ID-ийн ачаалалд ордог бөгөөд дараа нь үе тэнгийнхний гэрчилгээтэй тохирно. Хаягийн талбарт байгаа DNS нэр нь хүлээгдэж буй таних тэмдэг болохгүй бөгөөд түүхий IP нь зөвхөн сокет түүнд холбогдсон тул таних тэмдэг болохгүй.
strongSwan-ийн хувьд хаяг нь right эсвэл left бөгөөд хүлээгдэж буй таних тэмдэг нь rightid эсвэл leftid бөгөөд үүнийг IKEv2 тохиргооны баримт бичиг тайлбарласан болно. Хэрэв та зөвхөн хаягийг засварлаж байсан бол хосын талыг нь тохируулсан байна.
Хоёрдугаарт, гэрчилгээ юуг баталж чадах вэ
Баримт бичиг нь төрөлтэй бөгөөд гэрчилгээ нь тохирох нэрийг агуулсан байх ёстой. DNS таних тэмдэг нь сэдвийн өөр нэрийн өргөтгөлийн dNSName оруулгад хангагдсан; IP ID-д iPAddress оруулга хэрэгтэй. vpn.example.com-д олгосон гэрчилгээ нь 203.0.113.10 шууд хаягийн талаар юу ч нотлохгүй бөгөөд тухайн хаягаар олгосон гэрчилгээ нь нэрний талаар юу ч нотлохгүй. Тиймээс ижил түлхүүр болон CA дахин ашиглагдаж байсан ч өөр нэрээр дахин гаргах нь унасан орлуулалт биш юм.
Орчин үеийн үйлчлүүлэгчид сэдвийн өөр нэр байгаа тохиолдолд нийтлэг нэрийг үл тоомсорлодог бөгөөд ихэнх нь үүнийг бүхэлд нь үл тоомсорлодог. Хэрэв SAN жагсаалтад үйлчлүүлэгчийн шалгадаг утгыг агуулаагүй байна, гэрчилгээг аль хэдийн найдвартай гэж хүлээн зөвшөөрсний дараа гар барих ажиллагаа амжилтгүй болох бөгөөд иймээс бүртгэл нь итгэлцлийн алдаа гэхээсээ илүү таних тэмдэгийн алдаа мэт уншигдах болно.
Гуравдугаарт, үйлчлүүлэгч бүр хүлээлтийг хэрхэн илэрхийлдэг
Windows нь таны оруулсан серверийн нэр эсвэл хаягийг авч, түүнд тохирох гэрчилгээг шаарддаг тул IP бичих нь IP хүлээлт үүсгэдэг. Android-н IKEv2 үйлчлүүлэгч нь адилхан ажилладаг бөгөөд хоёулаа өөр хостыг нэрлэсэн хүчинтэй, олон нийтэд итгэмжлэгдсэн сертификатаас татгалздаг. Шилжилтийн явцад хэн нэгэн хостын нэрийг хаягаар нь сольсон тул профайл амжилтгүй болж эхэлдэг. Гэрчилгээнд юу агуулагдаж байгааг харахаасаа өмнө үйлчлүүлэгч юу хүссэнийг хараарай.
strongSwan дээр хүлээлт нь тодорхой байна: rightid-г серверийн үзүүлж буй таниулбарт тохируулна уу, энэ нь баруунаас өөр байж болно. Үүнийг %any болгож тохируулснаар үе тэнгийнхнийхээ санал болгож буй бүх зүйлийг хүлээн авч, таны хадгалах гэж буй чекийг хасна.
Дөрөвдүгээрт, хэрэглэгчийн нэвтрэлтийг үе тэнгийн таних тэмдэгээс тусгаарла
EAP баталгаажуулалт болон серверийн таниулбар нь өөр өөр асуултуудад хариулдаг. Үйлчлүүлэгч серверийг зөв гэж шийдсэний дараа [email protected] гэх мэт EAP таних тэмдэг нь хэрэглэгч хэн болохыг хэлдэг. Энэ нууц үгийг эргүүлэх нь үе тэнгийн таних тэмдгийн таарамжгүй байдлыг засах боломжгүй, учир нь холболт хэзээ ч хэрэглэгчийн нэвтрэх үе шатанд хүрдэггүй.
Ариутгасан тайланд үйлчлүүлэгчийн хүлээж буй таниулбар, серверийн танилцуулсан таниулбар, гэрчилгээний SAN оруулгуудыг хоёуланг нь нэрлэх ёстой.
Тавдугаарт, баталгаажуулсан сувгаар солих
Гарцыг хууль ёсны дагуу хөдөлгөх үед эхлээд хаягаа шинэчилж, таних тэмдгийг нь үлдээгээрэй, учир нь энэ нь IKEv2 сайн зохицуулагддаг. Тодорхойлолт нь өөрөө өөрчлөгдөх үед үүнийг итгэлцлийн үйл явдал гэж үзэж, шинэ утгыг одоо бүтэлгүйтэж байгаа төгсгөлийн цэгээс бус, аль хэдийн итгэж байсан эх сурвалжаас аваарай. Таны баталгаажуулахыг оролдож буй холболтоор илгээсэн мессеж нь холболтын нотолгоо биш юм.
Эцсийн хаяг, хувийн мэдээлэл болон SAN жагсаалтыг профайлын тэмдэглэлд бичнэ үү. Дараачийн гэрчилгээнд хүрсэн хүн гурвын аль нь шилжихийг зөвшөөрөхийг харах болно.