iPhone वर IKEv2 प्रमाणपत्र सेटअप: हस्तचालित किंवा व्यवस्थापित नोंदणी

गेटवेचे प्रमाणपत्र साधन डीफॉल्टने RSA वापरते म्हणून ते निवडणे हा महत्त्वाच्या प्रश्नापूर्वी घेतलेला निर्णय आहे: हे iPhone कसे नोंदवले जातील? वापरकर्त्याने स्वतः टाइप केलेले कनेक्शन आणि व्यवस्थापनाने दिलेले कॉन्फिगरेशन प्रोफाइल वेगवेगळी सेटिंग्ज दाखवतात, आणि काही प्रमाणपत्र पर्याय या दोन मार्गांपैकी एकावरच असतात। क्रम बरोबर ठेवला तर प्रमाणपत्र योजना छोटी होते; चूक केली तर फोन वापरणार नाही असे क्रेडेन्शियल तुम्ही जारी करता। खालील पायऱ्या क्रम म्हणून घ्या, कारण प्रत्येक पुढच्यासाठी उपलब्ध पर्याय संकुचित करते।

पहिली पायरी: नोंदणीचा मार्ग निवडा

हस्तचालित सेटअप म्हणजे वापरकर्ता सर्व्हरचा पत्ता टाकतो, प्रमाणीकरण पद्धत निवडतो आणि इंटरफेसला परवानगी असलेले कोणतेही क्रेडेन्शियल देतो। व्यवस्थापित नोंदणी म्हणजे प्रोफाइल पत्ता, ओळखकर्ते आणि क्रेडेन्शियल पेलोडचा संदर्भ घेऊन जाते। व्यवस्थापित मार्ग हस्तचालित स्क्रीनला शक्य नसलेली संयोजने व्यक्त करू शकतो, म्हणून प्रमाणपत्राचा निर्णय या निवडीनंतर आला पाहिजे, आधी नाही।

दोन्ही मार्ग फोनचे प्रमाणीकरण करू शकतात। तुम्ही काय संरचित करू शकता आणि ओळख कोणाकडे आहे यात ते वेगळे आहेत, म्हणून व्यवस्थापित प्रोफाइल हस्तचालित क्रेडेन्शियल एंट्रीशी मिसळण्याऐवजी एक जाणीवपूर्वक निवडा।

दुसरी पायरी: तुम्ही निवडलेल्या मार्गासाठी अल्गोरिदम निवडा

हस्तचालितपणे संरचित iPhone साठी, strongSwan च्या iOS आंतरकार्यक्षमता नोट्स RSA सर्व्हर प्रमाणपत्राची शिफारस करतात, कारण हस्तचालित क्लायंट ECDSA सर्व्हर प्रमाणपत्र स्वीकारणार नाही अशी शक्यता आहे; त्या नोट्स macOS वेगळे पाहतात। हे समर्थित क्लायंट संचासाठी मार्गदर्शन म्हणून वाचा, Apple उपकरणांविषयी कायमस्वरूपी कायदा म्हणून नाही। व्यवस्थापित प्रोफाइलकडे जास्त जागा आहे: पेलोड आणि गेटवे दोन्ही समर्थन देत असल्यास ते ECDSA क्लायंट ओळखीसह प्रमाणपत्र प्रकार स्पष्टपणे निवडू शकते।

काहीही तैनात करण्यापूर्वी तुम्ही खरोखर समर्थन देता त्या iOS आवृत्त्या सत्यापित करा। सर्वात नवीन आवृत्तीवरील प्रयोगशाळेतील फोन जुन्या उपकरणांचा समावेश असलेल्या फ्लीटचे वर्णन करत नाही, आणि प्रयोगशाळेत चालणारा अल्गोरिदम क्षेत्रातील सर्वात जुन्या फोनवर अद्याप अयशस्वी होऊ शकतो। आवृत्तीची श्रेणी स्मरणातून नाही, उपकरण व्यवस्थापनातून घ्या। फ्लीट अनेक आवृत्त्यांमध्ये पसरलेली असल्यास प्रथम सर्वात जुनी तपासा, कारण हस्तचालित इंटरफेस तिथेच सर्वात मर्यादित आहे।

तिसरी पायरी: प्रोफाइल फील्ड वेगळ्या गोष्टी म्हणून वाचा

सारख्याच नावाच्या अनेक की वेगवेगळ्या वस्तूंचे वर्णन करतात। दूरचा पत्ता म्हणजे फोन ज्या होस्टला कॉल करतो तो। दूरचा ओळखकर्ता म्हणजे गेटवे सादर करेल अशी अपेक्षा असलेली IKE ओळख। पेलोडचा प्रमाणपत्र संदर्भ क्लायंट क्रेडेन्शियलकडे निर्देश करतो, आणि प्रमाणपत्र प्रकार फील्ड IKEv2 मशीन प्रमाणीकरणासाठी वापरला जाणारा प्रकार निवडते। शब्द एकमेकांत मिसळले तरी यापैकी कोणतेही CA चे स्वाक्षरी अल्गोरिदम नाही।

Apple चा IKEv2 पेलोड संदर्भ स्पष्ट ECDSA प्रकारांसह RSA ला डीफॉल्ट प्रमाणपत्र प्रकार म्हणून सूचीबद्ध करतो, आणि जारीकर्ता-नाव की ला विशिष्ट प्रमाणीकरण सेटिंग्जशी जोडतो। कार्यरत तैनातीतून एक की कॉपी करण्याऐवजी तुम्ही निवडलेल्या पद्धतीच्या संदर्भात ते संबंध वाचा।

चौथी पायरी: गेटवेची ओळख त्याच्या प्रमाणपत्राशी जुळवा

स्पष्ट गेटवे नाव वापरा, उदाहरणार्थ vpn.example.com आणि सर्व्हर प्रमाणपत्रात जुळणारे पर्यायी विषय नाव ठेवा। strongSwan चे Apple मार्गदर्शन सर्व्हर प्रमाणीकरणासाठी विस्तारित की वापराचीही अपेक्षा करते। RSA किंवा ECDSA निवडल्याने त्यात काहीही बदलत नाही: अल्गोरिदम नावाची विसंगती, गहाळ EKU किंवा अपूर्ण साखळी दुरुस्त करू शकत नाही।

विश्वास अँकरचे वितरण ओळख सांगण्यापेक्षा वेगळे कार्य आहे। फोनला तो सत्यापित करू शकेल अशी प्रमाणपत्र साखळी हवी, आणि तुम्ही प्रमाणपत्रात प्रत्यक्षात ठेवलेल्या नावाची अपेक्षा करण्यासाठी तो संरचित असला पाहिजे।

दुसरे प्लॅटफॉर्म यशस्वीरीत्या जोडणे हा त्या प्लॅटफॉर्मच्या सत्यापन नियमांचा पुरावा आहे, फोनचे नियम सैल करण्याची परवानगी नाही। वेगळे होण्याचे दस्तऐवजीकृत कारण नसल्यास क्लायंटमध्ये तपासण्या समान ठेवा।

पाचवी पायरी: क्लायंट ओळख CA विश्वासापासून वेगळी करा

क्लायंट प्रमाणपत्र आणि त्याची खाजगी की ही फोन ज्या CA प्रमाणपत्रावर विश्वास ठेवतो त्याच्याशी समान वस्तू नाही। CA प्रमाणपत्र PKCS#12 ओळखीत बंडल केल्याने ते प्रत्येक समर्थित उपकरणावर आपोआप विश्वास अँकर म्हणून स्थापित होत नाही, म्हणून विश्वास वितरण स्वतःच्या तपासणीसह वेगळी पायरी माना।

जर रचना त्याऐवजी पासवर्ड-आधारित EAP वापरत असेल, तर फोनला इच्छित खाते प्रमाणीकरण आणि सर्व्हर सत्यापन आवश्यक आहे। तो मार्ग संपूर्ण फ्लीटला एक सामायिक क्लायंट खाजगी की पाठवण्याचे समर्थन करत नाही, जी अधिक वाईट अयशस्वी मोड असलेली वेगळी रचना आहे।

नूतनीकरण आणि रद्दीकरण लक्षात घेऊन योजना पूर्ण करा: क्लायंट क्रेडेन्शियल कोण पुन्हा जारी करतो, प्रोफाइल कसे अद्ययावत होते आणि हरवलेला फोन कसा तोडला जातो। तुम्ही सत्यापित केलेली प्रोफाइल आवृत्ती आणि उपकरण आवृत्त्या नोंदवा, कारण तीच नोंद पुढील प्रमाणपत्र बदलाला नियमित काम बनवते।