Нэг IKEv2 нэвтрэлтэд хоёр таних тэмдэг: эхлээд машин, дараа нь хэрэглэгч

Клиентийн гэрчилгээ баталгаажиж, эхний солилцоо дуусч, дараа нь нэмэлт баталгаажуулалтын үе шатны тухай алдаатайгаар холболт зогсдог. Гэрчилгээний гинжид буруу зүйл байхгүй, сүлжээнд юу ч өөрчлөгдөөгүй. Гарц нь холбогдож буй талаас хоёр дахь нотолгоог шаардахаар тохируулагдсан бөгөөд клиент үүнийг хэзээ ч илгээдэггүй. Хэн юуг, ямар дарааллаар нотлохыг шийдэх нь бүх ажил бөгөөд энэ нь таны зогсож буй төгсгөлийн цэгээс бодлогыг уншихаас эхэлдэг. Өөр өөр төрлийн хоёр нотолгоог тогтмол дарааллаар байрлуулах нь дизайны шийдвэр, чагтлах хайрцаг биш юм.

Шинж тэмдэг: амжилттай эхний нотолгооны дараах бүтэлгүйтэл

Эхний солилцоо дуусч, лог эрүүл харагдана, гарц EAP-аар хэрэглэгчийн таних тэмдэг шаардах хүртэл. Тэгэхэд гар барилт зогсох эсвэл нэмэлт үе шатыг нэрлэсэн протоколын алдаа буцаж ирнэ. Бүрэн хүчинтэй машины гэрчилгээ нь түүний хүчинтэй байдалтай ямар ч холбоогүй шалтгаанаар татгалзагдана. Бодлого хоёр дахь нотолгоог шаардсан бөгөөд клиентийн хариу хэзээ ч ирээгүй.

Тухайн бүтэлгүйтлийн хоёр тайлбар нь таны байрлалаас хамаарч зөв юм. Клиентийн талаас хүчинтэй гэрчилгээг татгалзаж буй сервер мэт харагдана, серверийн талаас нэвтрэлтийг дуусгаж чадахгүй клиент мэт харагдана. Нэг үйл явдал нэг лог дээр итгэлцийн асуудал, нөгөө дээр чадварын асуудал болж уншигдана. Аль нь болохыг зөвхөн тохируулсан бодлого хэлнэ.

Өргөтгөл юу нэмдэг, юу нэмдэггүй

IKEv2 нь нэг сессийн дотор нэгээс олон баталгаажуулалтын солилцоо хийх өргөтгөлтэй. RFC 4739 нь бусад дарааллын хамт гэрчилгээний таних тэмдгийг нотолж, дараа нь EAP-аар хүнийг баталгаажуулдаг клиентийг тоймлодог. Баримт бичиг нь Experimental статустай, өөрөөр хэлбэл ямар ч хэрэгжүүлэлт танд энэ боломжийг өгөх үүрэггүй. Түнш үүнийг тохиролцох хүртэл дэмжлэгийн талаар юу ч бүү таамагла.

Хоёр тал өргөтгөлийг дэмжиж, солилцооны үеэр түүн дээр тохиролцох ёстой. Хоёр дахь үе шатанд тохируулсан гарц нь клиентийг үүнийг хийхийг албадаж чадахгүй бөгөөд түүнийг дэмждэг клиент сервер хүсэхгүй бол ашиглахгүй. Энэхүү тэгш бус байдал нь бүтэлгүйтэл яагаад ихэвчлэн чадварын тухай тодорхой мэдэгдлийн оронд хугацаа хэтэрхий эсвэл протоколын алдаа болж илэрдэг шалтгаан юм. Нэг талын тохиргоог уншихад юу болохын тал нь л мэдэгдэнэ.

Төгсгөлийн цэг бүрт нэг нотолгоо бол ердийн хэлбэр бөгөөд энэ нь тэр дизайн биш юм. Гарц өөрийн гэрчилгээг танилцуулж, хэрэглэгч EAP-аар хариулж, тал бүр нөгөөгөө яг нэг удаа баталгаажуулсан байна. Тэдгээр хоёр нотолгоо нь эсрэг талын төгсгөлийн цэгүүдээс ирдэг тул аль нь ч машин болон түүнийг ашиглаж буй хүний тухай тусдаа юу ч хэлэхгүй.

EAP-TLS бол гурав дахь хэлбэр бөгөөд энэ нь ч бас энэ биш юм. Тэнд клиентийн гэрчилгээ EAP аргын дотор танилцуулагддаг тул клиент нэг IKE баталгаажуулалтыг гүйцэтгэсээр байна. Нэвтрэх мэдээлэл нь олон үе шаттай тохиолдолтой адил харагдаж болох ч протокол хоёр биш нэг үе шатыг зөөдөг. Тиймээс EAP-TLS-ийн байршуулалтаас хуулсан дизайн нь хоёр дахь нотолгоо хүлээгдэж буй цэг дээр яг л бүтэлгүйтдэг.

Нэг файл гарц дээр өөрөөр уншигдана

Нэг swanctl файл хаана ажиллаж байгаагаас хамаарч өөрөөр уншигддаг бөгөөд энэ нь хүмүүсийг тээглүүлдэг хэсэг юм. Зөөврийн компьютер дээр гарц нь түнш, харин гарц дээр зөөврийн компьютер нь түнш тул local талыг би хэн бэ гэж, remote талыг би хэнийг хүлээж авах вэ гэж бичээрэй. local блок нь энэ төгсгөлийн цэг өөрийгөө хэрхэн баталгаажуулдгийг тайлбарлаж, remote блок нь нөгөө төгсгөлөөс юу шаарддагийг заана. Блокыг хоёр файлын хооронд хуулах нь нэг ч тэмдэгтийг өөрчлөхгүйгээр утгыг нь урвуулна. Хоёр файлыг харьцуулах нь бараг юу ч хэлэхгүй, учир нь ижил үгс тус бүрд эсрэг утгатай байдаг.

Хэсгийн байрлал нь түүний дарааллыг тодорхойлдог, хэрэв үе шатын дугаар түүнийг давахгүй бол. Тиймээс нэмэлт local эсвэл remote хэсгүүд нь хувилбарууд биш нэмэлт үе шатуудыг тодорхойлдог бөгөөд swanctl.conf-ийн лавлагаа дэх тодорхой үе шатын дугаар нь яг тэр дарааллыг санаатай болгохын тулд оршдог. Үүнгүйгээр блокыг зөөх нь зан төлөвийг өөрчилдөг. Тиймээс цаасан дээр тэнцүү харагдах хоёр тохиргоо эсрэг дарааллаар ажиллаж болно.

Тэр дарааллын дүрэм нь санахад үнэ цэнэтэй бүтэлгүйтлийн хэв маягийг үүсгэдэг. Хоёр дахь remote блок нь өөр нэг хүлээн зөвшөөрөгдөх сонголт биш; энэ нь хоёр дахь шаардлага тул «аль нэг» гэж уншигддаг бодлого «ба дараа нь» мэт ажилладаг. Гарцын бодлого бүртгэгдсэн машины гэрчилгээг хүлээн авч, дараа нь тэр хэрэглэгчийн EAP солилцоог яг тэр дарааллаар шаардаж болно.

Үе шатыг бие даасан хүчин зүйлсээс ялга

Хоёр үе шат нь автоматаар хоёр бие даасан хүчин зүйл болдоггүй. Нотолгоог давтах, эсвэл нэг агуулахад хоёр нэвтрэх мэдээлэл хадгалах нь дизайны нэмэх ёстой байсан хүчийг өгдөггүй. Бие даасан байдал нь нууцыг хэрхэн хадгалж, юу тэдгээрийг эвдэж болохыг тодорхойлдог шинж чанар бөгөөд протокол хэдэн солилцоо хийхээс хамаарахгүй. Үе шатыг хүчин зүйл гэж тооцдог дизайн нь өөрийн байгаа зүйлийг хэтрүүлэн үнэлдэг. Энэ ялгаа нь нийцлийн асуулт нэвтрэлт хэдэн хүчин зүйл ашигладаг гэж асуухад хамгийн чухал юм.

Машины гэрчилгээ нь хүлээн авсан түлхүүрээ эзэмшиж буйг нотолдог, үүнээс өөр юу ч биш. Энэ нь техник хангамжийн атестаци ч, төхөөрөмжийн эрүүл мэндийн тайлан ч биш тул байр суурийн мэдээлэл шаарддаг бодлогод өөр механизм хэрэгтэй. subject талбар нь ч мөн итгэж болох бараа бүртгэлийн шошго биш, учир нь subject-ийг гэрчилгээг гаргасан эсвэл бүртгэсэн хүн сонгодог. Хэрэв дизайн машин эрүүл гэдгийг нотлох шаардлагатай бол тэр нотолгоо машиныг хэмждэг бүрэлдэхүүн хэсгээс ирэх ёстой.

Үе шат бүр бодитоор юу нотолдогийг нэмэхийн өмнө бичээрэй. Хоёр үе шат нэг зүйлийг хоёр удаа нотловол хоёр дахь нь итгэл үнэмшлийн оронд саатал, дэмжлэгийн тасалбар нэмдэг. Тэр тэмдэглэл нь нэмэлт үе шат зардлаа нөхөх эсэх тухай маргааныг зогсоодог.

Хосолтын дүрмийг бичиж, татгалзалуудыг туршаарай

Аль машины таних тэмдэг аль хүмүүстэй хосолж болохыг шийдэж, дүрмийг хэрэгжилт амьдардаг газарт бичээрэй. Зэрэгцээ байгаа хоёр хүчинтэй нэвтрэх мэдээлэл нь хосолтын тухай юу ч нотолдоггүй, учир нь хосолт нь баталгаажуулалтын үр дүн биш, эрх олголтын шийдвэр юм. Бүртгэлийн бичлэг эсвэл баталгаажуулалтын backend нь байгууллагын хүсэж буй харилцааг хэрэгжүүлэх ёстой.

Дараа нь бүтэлгүйтэх ёстой зүйлийг туршаарай: зөвшөөрөөгүй машин дээр хүлээн авсан хэрэглэгч, машины нэвтрэх мэдээлэлтэй зөвшөөрөөгүй хэрэглэгч, нэмэлт үе шатыг хийж чадахгүй түнш. Хэрэв гурвуулаа чимээгүйхэн ижил хандалт авбал бодлого нь хэрэгжүүлэхийн оронд зорилгыг тодорхойлж байна. Зарласан тохиргоог демоны мэдээлсэнтэй харьцуулаарай, учир нь хэзээ ч тохироогүй холболт нь давсан дүрэмтэй яг адил харагддаг:

swanctl --list-conns
swanctl --list-sas

Зөвхөн амжилттай нэвтрэлт биш, тохиролцсон үе шатууд болон түүнээс гарах эрх олголтыг шалгаарай. Мөн хуучин IKEv1 XAuth тохиргоог товч зам болгон бүү ашигла: холболт амжилттай болох хүртэл шаардлагатай үе шатыг устгахын оронд протокол, үүрэг, дараалал болон клиентийн бодит зан төлөвийг тааруулаарай. Бүтэлгүйтэж буй үе шатыг устгах нь хоёр нотолгоотой дизайн хэний ч хянаагүй нэг нотолгоотой дизайн болж чимээгүй хувирах зам юм. Устгалтыг өөрчлөлтийн бүртгэлд үлдээгээрэй.