Identiti IKE atau Alamat Endpoint: Jangan Keliru

Baca medan berlabel identiti FQDN sebagai rentetan literal, bukan sebagai permintaan nama DNS songsang alamat awam anda. Dalam penghurai strongSwan ia memang begitu, satu rentetan, dan membacanya tidak pernah menyelesaikannya kepada endpoint. Fakta itu sahaja menghapuskan gangguan paling biasa apabila anda memilih pengecam untuk peer. Semakan di bawah menghalang ketiga-tiga nilai yang terlibat daripada bercantum menjadi satu.

Label bukan carian

Antara muka vendor menggunakan perkataan seperti FQDN dan hostname secara longgar, dan label pada kotak tidak mengatakan apa-apa tentang pengekodan di belakangnya. Peranti yang memanggil medan Client FQDN mungkin menghantar FQDN, rentetan berbentuk e-mel atau alamat kosong. Anggap teks dan jenis sebagai dua keputusan berasingan, dan rekod kedua-duanya.

Tiada apa-apa dalam identiti literal memerlukan DNS. Ia dakwaan yang diperiksa oleh hujung lain, bukan nama yang perlu diselesaikan oleh rangkaian.

Tiga nilai berasingan, ditulis berasingan

Tiga tugas berada di sebalik satu skrin konfigurasi, dan menggabungkannya ialah kesilapan mahal. Satu nilai ialah alamat endpoint, yang menentukan ke mana paket pergi. Satu lagi ialah identiti setempat yang dipersembahkan oleh peer ini, dan yang ketiga ialah identiti yang anda jangkakan daripada hujung jauh sebelum anda mengesahkannya. Tulis ketiga-tiganya sebagai tiga baris dalam tiket perubahan, kerana apa-apa yang kurang daripada itu menggambarkan VPN dan bukan hubungan.

Identiti contoh mesti dipilih dan dibenarkan sebagai sebahagian daripada penggunaan. Ia dakwaan yang disahkan oleh pengesahan, bukan kelayakan yang menjadikan mana-mana peer boleh dipercayai, jadi rentetan yang kelihatan munasabah tidak membenarkan apa-apa.

Jenis ialah sebahagian daripada nilai

rujukan identiti strongSwan memisahkan FQDN, nilai berbentuk e-mel, alamat IP dan pengekodan lain, jadi pengekodan sama pentingnya dengan aksara. Dua peranti boleh menerima teks yang sama di bawah jenis berbeza dan masih menolak satu sama lain. Nota yang merekodkan nilai tanpa jenisnya ialah separuh konfigurasi.

Tanya vendor jenis apa yang sebenarnya dihantar oleh peranti, dan sahkan dengan penyahkodan dan bukan label antara muka. Jenis yang diteka ialah ketidakpadanan yang menunggu perubahan seterusnya.

Setiap pihak mesti memenuhi pihak yang lain

Identiti setempat setiap pihak mesti lulus dasar pengesahan pihak yang lain. Itu bukan perkara yang sama seperti menampal satu rentetan ke dalam setiap kotak identiti pada kedua-dua peranti, iaitu jalan pintas yang menghasilkan konfigurasi yang tiada siapa dapat nyahpepijat.

Pengesahan sijil menambah keperluannya sendiri, kerana identiti sijil dan syarat kepercayaan terletak di sebelah identiti IKE yang anda taip. Padanan identiti IKE sahaja tidak membenarkan peer bersijil.

Di mana DNS penting, dan apa yang dipaksa oleh versi anda

Hostname gateway yang digunakan untuk penemuan memang memerlukan DNS yang berfungsi, dan keperluan itu tergolong dalam mencari endpoint dan bukan dalam mana-mana carian songsang identiti yang ditaip. Asingkan kedua-duanya dalam tiket, kerana kegagalan penemuan dan ketidakpadanan identiti dibaca serupa dalam log klien dan dibaiki di tempat berbeza.

Baca penghurai bagi produk dan versi yang benar-benar anda jalankan sebelum menyalin sintaks yang memaksa jenis, kerana keluaran strongSwan lama berkelakuan berbeza dan vendor lain menambah kekangan mereka sendiri. Apabila anda membandingkan kedua-dua hujung, pegang empat perkara bersama: identiti yang dijangka, identiti yang dipersembahkan, jenis dan ralat pengesahan. Set itu menjadikan ketidakpadanan sebagai bukti dan bukan pendapat.