iPhone дээр IKEv2 гэрчилгээ тохируулах: гараар эсвэл удирдлаган бүртгэл

Гарцын гэрчилгээний хэрэгсэл үүнийг анхдагчаар ашигладаг учраас RSA-г сонгох нь чухал асуултаас өмнө гаргах шийдвэр: эдгээр iPhone-г хэрхэн бүртгэх вэ? Хэрэглэгчийн өөрөө бичсэн холболт болон удирдлагаас хүргэсэн тохиргооны профайл нь өөр өөр тохиргоог илрүүлдэг бөгөөд зарим гэрчилгээний сонголт зөвхөн эдгээр замын аль нэгэнд байдаг. Дарааллыг зөв болговол гэрчилгээний төлөвлөгөө богино болно; буруу болговол утас ашиглахгүй итгэмжлэл олгоно. Доорх алхмуудыг дараалал гэж үзээрэй, учир нь алхам бүр дараагийнх нь боломжит сонголтыг нарийсгадаг.

Эхний алхам: бүртгэлийн замыг сонго

Гараар тохируулах гэдэг нь хэрэглэгч серверийн хаягийг оруулж, баталгаажуулалтын аргыг сонгож, интерфейсийн зөвшөөрсөн аливаа итгэмжлэлийг өгдөг гэсэн үг. Удирдлаган бүртгэл гэдэг нь профайл хаяг, таних тэмдэг, итгэмжлэлийн ачааллын лавлагааг агуулдаг гэсэн үг. Удирдлаган зам нь гараар дэлгэц илэрхийлж чадахгүй хослолыг илэрхийлж чаддаг тул гэрчилгээний шийдвэр энэ сонголтын дараа байх ёстой, өмнө нь биш.

Хоёр зам утсыг баталгаажуулж чадна. Тэд юуг тохируулж болох, таних тэмдэг хэнд хамаарах талаар ялгаатай тул удирдлаган профайлыг гараар итгэмжлэл оруулахтай хольж биш, нэгийг нь санаатайгаар сонго.

Хоёр дахь алхам: сонгосон замынхаа алгоритмыг сонго

Гараар тохируулсан iPhone-д strongSwan-ы iOS нийцтэй байдлын тэмдэглэл RSA серверийн гэрчилгээг зөвлөдөг, учир нь гараар клиент ECDSA серверийн гэрчилгээг хүлээж авахгүй байж болно; мөн тэмдэглэл macOS-ыг тусдаа авч үздэг. Үүнийг дэмжигдсэн клиентийн багцад зориулсан удирдамж гэж уншаарай, Apple төхөөрөмжийн тухай мөнхийн хууль гэж биш. Удирдлаган профайл илүү зайтай: ачаалал болон гарц хоёулаа дэмжвэл ECDSA клиентийн таних тэмдгийг оролцуулан гэрчилгээний төрлийг тодорхой сонгож чадна.

Ямар нэг зүйлийг байршуулахын өмнө таны үнэхээр дэмждэг iOS хувилбарыг баталгаажуул. Хамгийн шинэ хувилбар дээрх лабораторийн утас нь хуучин төхөөрөмж агуулсан флотыг дүрслэхгүй бөгөөд лабораторид ажилладаг алгоритм талбайн хамгийн хуучин утсан дээр бүтэлгүйтэж болно. Хувилбарын хүрээг ой санамжаас биш, төхөөрөмжийн удирдлагаас ав. Хэрэв флот хэд хэдэн хувилбарыг хамарвал хамгийн хуучин нь эхлээд турш, учир нь гараар интерфейс тэнд хамгийн хязгаарлагдмал.

Гурав дахь алхам: профайлын талбарыг тусдаа зүйл гэж унш

Ижил нэртэй хэд хэдэн түлхүүр өөр өөр объектыг дүрсэлдэг. Алсын хаяг бол утас руу залгах хост юм. Алсын таних тэмдэг бол гарц үзүүлнэ гэж хүлээж буй IKE таних тэмдэг юм. Ачааллын гэрчилгээний лавлагаа нь клиентийн итгэмжлэл рүү заадаг бөгөөд гэрчилгээний төрлийн талбар нь IKEv2 машины баталгаажуулалтад хэрэглэх төрлийг сонгодог. Үгнүүд давхцаж байсан ч эдгээрийн аль нь ч CA-ийн гарын үсгийн алгоритм биш.

Apple-ы IKEv2 ачааллын лавлагаа нь RSA-г тодорхой ECDSA хувилбаруудтай анхдагч гэрчилгээний төрөл гэж жагсааж, олгогчийн нэрийн түлхүүрийг тодорхой баталгаажуулалтын тохиргоотой холбодог. Эдгээр харилцааг ажиллаж буй байршуулалтаас нэг түлхүүр хуулахын оронд сонгосон аргынхаа лавлагаанаас уншаарай.

Дөрөв дэх алхам: гарцын таних тэмдгийг гэрчилгээтэй нь тааруул

Тодорхой гарцын нэр ашигла, жишээ нь vpn.example.com ба серверийн гэрчилгээнд тохирох өөр нэр оруул. strongSwan-ы Apple удирдамж серверийн баталгаажуулалтад өргөтгөсөн түлхүүрийн хэрэглээг мөн хүлээдэг. RSA эсвэл ECDSA сонгох нь үүнээс юу ч өөрчлөхгүй: алгоритм нэрийн зөрүү, дутуу EKU эсвэл бүрэн бус гинжийг засч чадахгүй.

Итгэлийн зангууг тараах нь таних тэмдгийг батлахаас тусдаа ажил. Утас нь баталгаажуулж чадах гэрчилгээний гинж хэрэгтэй бөгөөд гэрчилгээнд таны үнэхээр оруулсан нэрийг хүлээхээр тохируулагдсан байх ёстой.

Өөр платформ амжилттай холбогдсон нь тухайн платформын баталгаажуулалтын дүрмийн нотолгоо бөгөөд утасны дүрмийг сулруулах зөвшөөрөл биш. Ялгах баримтжуулсан шалтгаан байхгүй бол шалгалтыг клиентүүдийн хооронд ижил байлга.

Тав дахь алхам: клиентийн таних тэмдгийг CA-ийн итгэлээс салга

Клиентийн гэрчилгээ болон түүний хувийн түлхүүр нь утасны итгэдэг CA гэрчилгээтэй ижил объект биш. CA гэрчилгээг PKCS#12 таних тэмдгийн дотор багцласан нь түүнийг дэмжигдсэн төхөөрөмж бүр дээр итгэлийн зангуу болгон автоматаар суулгахгүй тул итгэлийн тархалтыг өөрийн шалгалттай тусдаа алхам гэж үзээрэй.

Хэрэв загвар оронд нь нууц үгэнд суурилсан EAP ашигладаг бол утас нь зориулсан бүртгэлийн баталгаажуулалт болон серверийн баталгаажуулалт хэрэгтэй. Энэ зам бүх флотод нэг хуваалцсан клиентийн хувийн түлхүүр илгээхийг зөвтгөхгүй, энэ нь илүү муу бүтэлгүйтлийн горимтой өөр загвар юм.

Шинэчлэлт, хүчингүй болгохыг санаж төлөвлөгөөгөө дуусга: клиентийн итгэмжлэлийг хэн дахин олгох, профайлыг хэрхэн шинэчлэх, алдсан утсыг хэрхэн салгах. Та баталгаажуулсан профайлын хувилбар болон төхөөрөмжийн хувилбарыг тэмдэглэ, учир нь тэр бүртгэл л дараагийн гэрчилгээний солилцоог ердийн ажил болгодог.