strongSwan EAP: IKE таних ба хүлээгдэж буй AAA нэр

strongSwan EAP клиент хоёр серверийн нэрийг баталгаажуулж чадна. remote.id нь IKE гарцыг, local.aaa_id нь EAP серверийг хамарна; эдгээр нь нэг талбар биш.

IKEv2 дээрх EAP нэвтрүүлэлт нь клиентээс нэг холболтод хоёр өөр серверийн нэрийг баталгаажуулахыг шаардаж болно. IKE-г дуусгадаг гарц нэг таних тэмдэг үзүүлдэг бол дотоод TLS солилцоог дуусгадаг EAP арын хэсэг өөр нэгийг үзүүлж болно. strongSwan-д тэд өөр өөр тохиргооны блокт амьдардаг бөгөөд нэрийг буруу блокт хийвэл гэрчилгээний асуудал мэт харагдах алдаа гарна. Аль баталгаажуулалт бүтэлгүйтсэнийг уншиж байж аль блокийг засахыг мэднэ.

Нэг холболт, хоёр серверийн таних тэмдэг

Эхний таних тэмдэг нь IKE солилцоонд хамаарна. Клиент хаяг руу залгаж, эсрэг тал тодорхой таних тэмдгийг, ихэвчлэн гарцын гэрчилгээн дэх нэрийг нотлохыг хүлээдэг.

Хоёр дахь нь EAP-д хамаарна. PEAP эсвэл TTLS-тэй бол клиент IKE SA доторх нэвтрүүлэлтийн сервер рүү TLS туннель барьж, тэр дотоод сервер өөрийн гэрчилгээг үзүүлдэг. Арын хэсэг нь тусдаа хост бол түүний нэр гарцын нэрээс ялгаатай. Зөвхөн эхний нэрийг шалгадаг клиент хоёр дахь нь батлах бүгдийг хүлээн авдаг. Харин хоёр газарт нэг нэрээр тохируулсан клиент тэдгээр нь үнэхээр ялгаатай болмогц бүтэлгүйтдэг.

Хоёр нэр хоёулаа операторын тохиргооноос гардаг, алдааг арилгадаг гэрчилгээнээс биш. Оператороос байрлуулалтын дэлгэрэнгүйг асуух нь хоёр хост нэрийг таамаглахаас хурдан.

Аль талбар аль давхаргад хамаарах

swanctl-д хаяг ба IKE таних тэмдэг нь тусдаа тохиргоо, EAP таних тэмдэг нь гурав дахь.

Алсын хаяг пакетууд хаашаа явахыг сонгож, алсын таних тэмдэг нь эсрэг тал юу нотлох ёстойг хэлнэ. EAP хүлээлтийг local блокийн доор бичдэг, учир нь энэ нь эсрэг талын IKE зан төлөвийг бус энэ клиентийн EAP солилцоог дүрсэлдэг. Яг энэ байрлал буруу уншигддаг. Нэр нь серверийг дүрсэлж байхдаа клиентийн тохиргоонд байрладаг тул яг ийм учраас байр буруу мэт харагддаг.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Энэ хэсэг нь бүрэн холболт биш; итгэлцлийн материал, нэвтрэх мэдээлэл, охин холболтын бодлого хараахан байх ёстой. Үүнийг ажиллаж буй файл руу үгчлэн хуулбал танд хараахан хэрэгтэй тохиргоог орлуулах болно.

Яагаад aaa_id local-ийн доор амьдардаг

local блок нь нэвтрүүлэлтийн үед энэ тал юу хийдгийг, түүний дотор ашиглах арга, тухайн аргад нөгөө талаас хүлээж буй таних тэмдгийг дүрсэлдэг. Үүнд AAA сервер нэг машинд ажилладаг гэж юу ч батлахгүй.

Анхдагч утга нь урхийг улам хурцалдаг. Тодорхой утга тогтоогоогүй бол хүлээгдэж буй AAA таних тэмдэг нь алсын таних тэмдгийг дагадаг тул нэг нэртэй байрлуулалт ажиллаж, ялгааг нуудаг. Тодорхой утга нь EAP байрлуулалт үнэхээр өөр газар дуусах үед л чухал. Тэр шалтгаангүйгээр өөр нэрэнд тохируулбал оператор давтаж чадахгүй алдаа үүснэ. Хоёр дахь нэрийг зохиохын өмнө байрлуулалтыг уншина уу.

Утгыг арын хэсгийн гэрчилгээ үнэхээр баталж буйтай, нэрийн хэлбэрийг оруулаад, ижил байлга. Төгсгөлийн цэг эсвэл хосттыг хамаарахгүй орлуулах тэмдэгт шалгалт бүтэлгүйтэхэд хангалттай.

Хуваалтыг илэрхийлж чадахгүй интерфейсүүд

NetworkManager профайл нь swanctl-ийн ижил тохиргооны интерфейс биш. Арын нэмэлт нь таних тэмдгийн хяналтын нарийн багцыг санал болгодог бөгөөд аль нь байгаа нь суулгасан хувилбараас хамаарна.

Байрлуулалтад үнэхээр хоёр нэр хэрэгтэй үед энэ чухал. Серверийн таних тэмдэг гэж тэмдэглэсэн талбар нь нэг давхаргыг тохируулж, нөгөөг тохируулахгүй байж болох тул профайл зөв харагдаад дотоод шалгалтад бүтэлгүйтэж болно. Профайл энэ зохицуулалтыг илэрхийлж чадна гэж үзэхийн өмнө суулгасан нэмэлт юу дэмждэгийг шалга. Хэрэв чадахгүй бол сонголт операторт хамаарна: өөр хангамжийн зам эсвэл зассан серверийн таних тэмдгийн загвар. PEAP-ыг сулруулах эсвэл ямар ч нэрийг хүлээн авах нь нэвтрүүлэлтийн бодлогыг засахын оронд өөрчилдөг.

Хөндлөн хувилбар нь клиент дээр зохиох зүйл биш. Дэмжигдсэн зохицуулалтыг бичгээр хүс, дараа нь тэр хариуг профайлын хамт хадгал.

Таних тэмдгийн зөрүүг хугацаа дууссан гэрчилгээнээс ялга

Нэрийн зөрүү ба хугацаа дууссан гэрчилгээ нь өөр өөр алдаа бөгөөд лог тэдгээрийг ялгадаг. Аль талбарыг солихыг шийдэхийн өмнө мессежийг унш.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Зорьсон AAA таних тэмдгийг тохируулах нь гэрчилгээг шинэчилдэггүй, түүнийг гаргагчид итгэл тогтоодоггүй, гэрчилгээг шинэчлэх нь буруу хүлээгдэж буй нэрийг засдаггүй. Өөр таних тэмдгийн талбар засахаас өмнө аль баталгаажуулалт бүтэлгүйтсэнийг унш. Дараа нь тохиргоог дахин ачаалж, ачаалсан холболт таны тогтоосон утгыг харуулж байгааг баталгаажуул, учир нь хэзээ ч ачаалагдаагүй зассан файл юу ч өөрчлөхгүй. Хоёр нэрийг болон тэдгээрийн давхаргыг байрлуулалтын тэмдэглэлд бич.

Холбоотой нийтлэлүүд