SAN Sijil IKEv2: Mengapa Pemeriksaan Identiti Gagal

Sijil anda berantai kepada CA yang dipercayai, tarikhnya betul, tetapi rakan sebaya masih enggan melengkapkan fasa 1 dengan ralat identiti. Ketercapaian dan tandatangan yang sah hanyalah separuh daripada apa yang diperiksa oleh klien IKEv2. Separuh lagi ialah sama ada identiti yang dijangka muncul dalam sijil pada medan yang betul, dan jangkaan itu ditetapkan oleh profil, bukan oleh nama fail sijil.

Gejalanya sentiasa berbentuk sama

Profil sambungan ditukar daripada nama hos kepada alamat IP, atau diperbaharui daripada sijil yang membawa nama DNS kepada sijil yang hanya membawa alamat, danterowong berhenti berunding. Tiada apa-apa berubah pada laluan rangkaian. Klien mencapai rakan sebaya, menerima sijil, dan menolak identiti rakan sebaya kerana pengecam yang diminta dijangka tidak diwakili dalam medan yang diterimanya. Pembaharuan ialah pencetus biasa, kerana sijil pengganti sering datang daripada templat yang berbeza daripada yang digantikannya.

Kedua-dua pihak kemudian mencatat sesuatu yang tidak membantu, sebab itulah kegagalan biasanya dilaporkan sebagai masalah sijil. Log klien mungkin menamakan identiti yang dikehendaki, dan nama itu ialah petunjuk yang anda perlukan, bukan tarikh tamat tempoh.

Padankan jenis pengecam, bukan hanya nilainya

SAN dNSName dan SAN iPAddress ialah medan berbeza dengan peraturan pemadanan berbeza, jadi sijil yang membawa 203.0.113.10 sebagai rentetan DNS tidak memenuhi klien yang menjangka identiti IP. Pengesah moden sebahagian besarnya mengabaikan nama umum, jadi label mesra dalam butiran sijil tidak membuktikan apa-apa tentang apa yang akan sepadan. Jika nama hos diganti dengan alamat semasa penyelesaian masalah, anggap identiti yang dijangka bergerak bersamanya sehingga anda memeriksanya. Bandingkan rentetan dalam profil dengan rentetan dalam SAN aksara demi aksara, kerana titik di hujung atau ruang terlebih sudah cukup.

Kad bebas hanyalah kemudahan DNS dan mengikut peraturan pemadanan mereka sendiri, yang merupakan sebab lain mengapa profil berasaskan IP tidak sepatutnya bergantung padanya.

Cari di mana setiap klien menyimpan jangkaan itu

Dalam strongSwan, nilai yang dibandingkan dengan sijil datang daripada tetapan identiti rakan sebaya: rightid dalam konfigurasi klasik, atau id bahagian sambungan jauh dalam swanctl. Dokumentasinya tentang interoperabiliti Apple IKEv2 berguna di sini kerana ia menjelaskan konvensyen identiti yang digunakan oleh klien yang dipacu profil, dan konvensyen itu menjelaskan satu kelas ketidakpadanan yang kelihatan rawak pada wayar.

Profil konfigurasi Apple membawa medan pengecam jauh, dan nilai di situ ialah apa yang diperiksa oleh klien, bukan alamat pelayan dalam tetapan sambungan. Klien Windows dan perkakas masing-masing mempunyai medan sendiri dengan nilai lalai sendiri, dan nilai lalai sering mengikut alamat yang anda taip. Apabila dua medan tidak bersetuju, yang benar-benar dibaca oleh klien yang menang, dan ia jarang yang anda sunting.

Baiki profil atau sijil, dengan sengaja

Periksa sijil rakan sebaya dengan alat yang diluluskan dan senaraikan entri SAN dengan jenisnya sebelum mengubah apa-apa. Pemeriksaan itu tidak memerlukan kunci peribadi dan tidak perlu muat naik, dan ia menyelesaikan persoalan dalam beberapa saat. Jika penggunaan dimaksudkan untuk satu identiti DNS, sijil mesti membawanya sebagai entri dNSName, dan jika penggunaan dimaksudkan untuk alamat, sijil memerlukan entri iPAddress untuk alamat yang tepat itu.

Apabila sijil salah, minta yang diperbetulkan daripada pengendali dengan pengecam jangkaan yang khusus. Apabila profil salah, baiki profil dan biarkan sijil. Melumpuhkan pengesahan identiti membuat ralat hilang dan membuang pemeriksaan bahawa terowong bercakap dengan rakan sebaya yang anda maksudkan.

Dokumenkan identiti yang dijangka bagi setiap platform klien, kerana nilai yang diperoleh satu klien secara automatik mungkin perlu dinyatakan secara eksplisit pada klien lain.

Berikan empat fakta kepada permintaan pembaharuan

Tuliskan pengecam yang dijangka dan jenisnya, entri SAN yang benar-benar dimiliki sijil semasa, klien dan versi yang melakukan pemeriksaan, dan teks ralat yang tepat. Permintaan pembaharuan yang dibina daripada empat baris itu mendapat sijil yang betul pada kali pertama, bukan sijil lain dengan nama fail yang sama-sama biasa.