iPhone IKEv2-оос RouterOS руу: аль таних тэмдэг хаана байрлана
Дөрвөн тусдаа мэдэгдэл iOS-ийн IKEv2 туннелийг шийднэ: залгах хаяг, хүлээж буй серверийн таних тэмдэг, мэдэгдэж буй клиент таних тэмдэг, гэрчилгээний материал.
MikroTik гарц руу хүрэх нь IKEv2 байршуулалтын зөвхөн тээврийн хагасыг шийддэг бөгөөд өөр юу ч биш. Дараа нь дөрвөн тусдаа мэдэгдэл туннель үүсэх эсэхийг шийднэ: утасны залгах хаяг, хүлээж буй серверийн таних тэмдэг, өөрийн төлөө мэдэгдэх таних тэмдэг, тэр мэдэгдлийг батлах гэрчилгээний материал. Тэдгээрийг энэ дарааллаар шалгаж, гарцын танилцуулж буйтай таарахгүй эхний дээр зогсоно уу. Тус бүр өөр газар засварлагддаг тул буруу засвар нь ихэвчлэн алдааг засахын оронд зөөдөг.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Профайлын талбаруудыг солилцоо ашигладаг дарааллаар шалгана уу
Алсын хаяг нь эхний IKE пакетийн хүрэх газар бөгөөд үүнээс өөр зүйл биш. Алсын танигч нь утас гарц өөрийгөө нотлохыг хүлээж буй зүйл бөгөөд энэ нь нэр, маршрут биш. Хоёуланг ижил хост нэрээр дүүргэх нь гарцын гэрчилгээнд тэр нэр байгаа үед ажилладаг, байхгүй үед маршрутын асуудал мэт харагдах байдлаар бүтэлгүйтдэг. Профайлыг бөглөх талбаруудын жагсаалт биш, мэдэгдлүүдийн дараалал гэж уншина уу.
Орон нутгийн танигч нь утасны өөрийн мэдэгдэл бөгөөд утасны танилцуулж буй клиент гэрчилгээнд RouterOS-ийн таних тэмдгийн бичлэг хүлээн зөвшөөрдөг нэр байх ёстой. Хоёр нь тохирохгүй бол гарц нь гэрчилгээ өөрөө баталгаажсаны дараа холболтыг татгалзаж, бүртгэл нь нэршил биш, зөвшөөрлийн асуудал мэт харагдана.
Танигчуудыг гарцын танилцуулж буйтай харьцуулж шалгана уу
Гэрчилгээний баталгаажуулалтад тохируулсан RouterOS хамтрагчийн бичлэг өөрийн гэрчилгээг танилцуулж, өөрөөр тохируулаагүй бол түүний таних тэмдэг тэр гэрчилгээнээс авна. Хэрэв утасны алсын танигч гарцын DNS нэрийг нэрлэвэл гарцын гэрчилгээнд тэр нэр утасны хүлээн зөвшөөрөх газарт, ихэвчлэн субъектийн өөр нэрэнд хэрэгтэй. Өөр нийтлэг нэрэнд олгосон гэрчилгээ түлхүүр, гинжин хэлхээ төгс байсан ч баталгаажихгүй.
Удирддаг Apple профайлууд танигчийн талбаруудаас гадна үнэлэгддэг гэрчилгээний нэрийн хязгаарлалтыг агуулж болно. Тохиргооны дэлгэц харуулж буйгаас баталгаажуулалтын нэрийг таамаглахын оронд ачааг шалгана уу, учир нь эдгээр нь нэг тохиргоо биш.
Клиент гэрчилгээ нь түлхүүр мөн эсэхийг, зөвхөн итгэлийн зангуу биш эсэхийг шалгана уу
CA гэрчилгээ импортлох нь утсанд гарцыг баталгаажуулах зүйл өгдөг. Энэ нь утсанд клиент таних тэмдэг өгөхгүй бөгөөд гэрчилгээний баталгаажуулалтад клиент навч гэрчилгээ болон түүний хувийн түлхүүрийг зөвшөөрөгдсөн бүртгэлийн замаар хамт хүргэх шаардлагатай. Хувийн түлхүүргүйгээр бүтээсэн PKCS#12 нь цэвэр суулгагдах боловч юу ч баталгаажуулдаггүй профайл өгдөг.
Клиент навчид RouterOS талын хүлээж буй таних тэмдэг бас хэрэгтэй, өөрөөр хэлбэл субъект эсвэл субъектийн өөр нэр нь холбогдох таних тэмдгийн тохиргоотой тохирох ёстой. Нэг CA-аас клиент болон серверийн гэрчилгээ олгох нь гинжийг тохиромжтой болгодог боловч хоёр навчийг харилцан солилцох боломжтой болгодоггүй.
RouterOS бодлого тэр нэрийг хүлээн зөвшөөрч байгаа эсэхийг шалгана уу
Гарц дээр хамтрагчийн бичлэг солилцооны горим болон баталгаажуулалтын аргыг тогтоож, таних тэмдгийн бичлэг нь хүлээн авсан алсын таних тэмдгийг гэрчилгээ болон дараагийн бодлоготой холбодог. RouterOS v7-д энэ хосыг IPsec хамтрагч болон таних тэмдгийн бичлэгээр илэрхийлдэг, жишээ нь auth-method=digital-signature бүхий IKEv2 хамтрагч. Суулгасан хувилбарынхаа бодит цэсийн агуулгыг шалгана уу, хуучин хувилбарт зориулж бичсэн гарын авлагыг биш.
Энд л зөрүүг засах нь хамгийн хямд, учир нь гарц танд хүлээн авсан болон хүссэн таних тэмдгийг хоёуланг нь хэлж чадна. Алдааг намжаахын тулд хүлээн авах таних тэмдгийг өргөтгөх нь байршуулалтад утга өгсөн холбоог арилгадаг.
Ямар нэг зүйлийг засахаас өмнө аль үе шат бүтэлгүйтсэнийг шалгана уу
Оролдлогыг хоёр төгсгөлд уншиж, саналыг өөрчлөхөөс өмнө ангилна уу. Саналын зөрүү, гарын үсгийн түлхүүр дутмаг, итгэмжлэгдээгүй олгогч, буруу хамтрагчийн танигч, татгалзсан клиент зөвшөөрөл — бүгд утаснаас үхсэн туннель мэт харагдах бөгөөд тус бүр өөр эзэнтэй. Таван тохиргоог нэгэн зэрэг өөрчлөх нь үр дүнгээс юу ч сурахгүй гэдгийг батална.
Танилцуулсан таних тэмдэг, хүлээж буй таних тэмдэг, гэрчилгээний олгогч болон серийн дугаар, холбогдох бодлогын нэрийг тэмдэглэж, хувийн түлхүүр болон профайлын нууцыг тэр тэмдэглэлээс гадуур байлгана уу. Баталгаажуулалт амжилттай болсны дараа, хувийн үйлчилгээ болон түүний хариуг туршиж үзнэ үү, учир нь IKE солилцоо дууссаны дараа ч хаяг хуваарилалт, селекторууд, DNS болон хандалтын бодлого ажиллах ёстой.