IKEv2 alamat pelayan vs identiti: perkara yang sebenarnya diperiksa oleh pelanggan

Gerbang yang menukar alamat boleh terus berfungsi sementara gerbang yang sama di belakang sijil baharu berhenti, dan sebaliknya berlaku juga. Alamat memberitahu pelanggan tempat untuk menghantar paket; identiti yang disahkan memberitahu klien sama ada rakan yang menjawab adalah yang patut dipercayainya. IKEv2 mengekalkannya sebagai dua medan berasingan, yang berguna sebaik sahaja anda berhenti menganggapnya sebagai satu rentetan. Mereka juga dikonfigurasikan di tempat yang berbeza, jadi satu boleh betul manakala satu lagi salah.

Semak mereka dalam susunan ini dan berhenti pada ketidakpadanan pertama, kerana semakan kemudian menganggap yang lebih awal lulus.

Pertama, nilai yang manakah alamat

Alamat sambungan ialah apa sahaja yang didail oleh pelanggan: IP, nama DNS yang diselesaikan kepada satu atau hujung hadapan seimbang beban. Itu adalah maklumat pengangkutan dan tidak lebih. Identiti masuk dalam muatan ID IKEv2 dan kemudian dipadankan dengan sijil rakan sebaya. Nama DNS dalam kotak alamat tidak menjadi identiti yang diharapkan dan IP mentah tidak menjadi identiti hanya kerana soket disambungkan kepadanya.

Dalam istilah strongSwan, alamatnya ialah right atau left dan identiti yang dijangkakan ialah rightid atau leftid, dan itulah yang diterangkan oleh dokumentasi konfigurasi IKEv2. Jika anda hanya pernah mengedit alamat, anda telah mengkonfigurasi separuh daripada pasangan itu.

Kedua, apa yang boleh dibuktikan oleh sijil

Identiti mempunyai jenis, dan sijil perlu membawa nama yang sepadan. Identiti DNS dipenuhi dengan entri dNSName dalam sambungan nama alternatif subjek; identiti IP memerlukan entri iPAddress. Sijil yang dikeluarkan untuk vpn.example.com tidak membuktikan apa-apa tentang alamat literal 203.0.113.10, dan sijil yang dikeluarkan untuk alamat itu tidak membuktikan apa-apa tentang nama itu. Oleh itu, pengeluaran semula untuk nama yang berbeza bukanlah pengganti drop-in, walaupun apabila kunci yang sama dan CA digunakan semula.

Pelanggan moden mengabaikan nama biasa apabila nama alternatif subjek wujud, dan ramai yang mengabaikannya sepenuhnya. Jika senarai SAN tidak mengandungi nilai yang pelanggan semak, jabat tangan gagal selepas sijil telah diterima sebagai boleh dipercayai, itulah sebabnya log itu dibaca seperti ralat identiti dan bukannya ralat amanah.

Ketiga, bagaimana setiap pelanggan menyatakan jangkaan

Windows mengambil nama pelayan atau alamat yang anda taip dan memerlukan sijil untuk dipadankan, jadi menaip IP mencipta jangkaan IP. Pelanggan Android IKEv2 berkelakuan dengan cara yang sama, dan kedua-duanya menolak sijil yang sah, dipercayai awam yang menamakan hos yang berbeza. Profil boleh mula gagal hanya kerana seseorang menggantikan nama hos dengan alamatnya semasa penghijrahan. Lihat apa yang pelanggan minta sebelum anda melihat apa yang terkandung dalam sijil.

Pada strongSwan jangkaan adalah eksplisit: tetapkan rightid kepada identiti yang sebenarnya ditunjukkan oleh pelayan, yang mungkin berbeza dari kanan. Menetapkannya kepada %any menerima apa sahaja yang ditawarkan oleh rakan sebaya dan mengalih keluar betul-betul cek yang anda cuba simpan.

Keempat, asingkan log masuk pengguna daripada identiti rakan sebaya

EAP pengesahan dan identiti pelayan menjawab soalan yang berbeza. Identiti EAP seperti [email protected] menyatakan siapa pengguna, selepas pelanggan memutuskan bahawa pelayan adalah yang betul. Memutar kata laluan itu tidak boleh membetulkan ketidakpadanan identiti rakan sebaya, kerana sambungan tidak pernah sampai ke peringkat log masuk pengguna.

Laporan yang telah dibersihkan harus menamakan kedua-duanya: identiti yang diharapkan oleh pelanggan, identiti yang disampaikan oleh pelayan dan entri SAN sijil.

Kelima, tukar melalui saluran yang disahkan

Apabila get laluan bergerak secara sah, kemas kini alamat dahulu dan biarkan identiti sahaja, kerana itu IKEv2 dikendalikan dengan baik. Apabila identiti itu sendiri berubah, anggap ia sebagai acara amanah dan dapatkan nilai baharu daripada sumber yang anda sudah percayai, bukan dari titik akhir yang gagal pada masa ini. Mesej yang dihantar melalui sambungan yang anda cuba sahkan bukanlah bukti tentang sambungan itu.

Catatkan alamat akhir, identiti dan senarai SAN bersama-sama dalam nota profil. Orang seterusnya yang menyentuh sijil kemudiannya akan melihat yang mana antara tiga yang dibenarkan untuk berpindah.