Persediaan sijil IKEv2 pada iPhone: pendaftaran manual atau terurus

Memilih RSA kerana alat sijil gerbang menggunakannya secara lalai ialah keputusan yang dibuat sebelum soalan yang penting: bagaimana iPhone ini akan didaftarkan? Sambungan yang ditaip pengguna dan profil konfigurasi yang dihantar oleh pengurusan mendedahkan tetapan berbeza, dan sesetengah pilihan sijil hanya wujud pada salah satu laluan itu. Susun urutan dengan betul dan rancangan sijil menjadi pendek; silap dan anda mengeluarkan kelayakan yang telefon tidak akan gunakan. Anggap langkah di bawah sebagai urutan, kerana setiap satu menyempitkan pilihan yang tersedia untuk yang seterusnya.

Langkah satu: pilih laluan pendaftaran

Persediaan manual bermaksud pengguna memasukkan alamat pelayan, memilih kaedah pengesahan dan memberikan sebarang kelayakan yang dibenarkan oleh antara muka. Pendaftaran terurus bermaksud profil membawa alamat, pengecam dan rujukan kepada muatan kelayakan. Laluan terurus boleh menyatakan gabungan yang tidak dapat dilakukan oleh skrin manual, sebab itu keputusan sijil mesti datang selepas pilihan ini, bukan sebelumnya.

Kedua-dua laluan boleh mengesahkan telefon. Kedua-duanya berbeza dari segi apa yang boleh dikonfigurasikan dan siapa yang memiliki identiti, jadi pilih satu dengan sengaja daripada mencampurkan profil terurus dengan kemasukan kelayakan manual.

Langkah dua: pilih algoritma untuk laluan yang anda pilih

Untuk iPhone yang dikonfigurasikan secara manual, nota kesalingoperasian iOS strongSwan mengesyorkan sijil pelayan RSA, kerana klien manual mungkin tidak menerima sijil pelayan ECDSA; nota yang sama mengendalikan macOS secara berasingan. Baca ini sebagai panduan untuk set klien yang disokong, bukan undang-undang kekal tentang peranti Apple. Profil terurus mempunyai lebih banyak ruang: ia boleh memilih jenis sijil secara eksplisit, termasuk identiti klien ECDSA, apabila muatan dan gerbang kedua-duanya menyokongnya.

Sahkan versi iOS yang benar-benar anda sokong sebelum menggunakan apa-apa. Telefon makmal pada keluaran terbaharu tidak menggambarkan armada yang merangkumi peranti lama, dan algoritma yang berfungsi di makmal masih boleh gagal pada telefon tertua di lapangan. Ambil julat versi daripada pengurusan peranti, bukan daripada ingatan. Jika armada merangkumi beberapa keluaran, uji yang tertua dahulu, kerana di situlah antara muka manual paling terhad.

Langkah tiga: baca medan profil sebagai perkara berasingan

Beberapa kunci dengan nama serupa menerangkan objek yang berbeza. Alamat jauh ialah hos yang didail oleh telefon. Pengecam jauh ialah identiti IKE yang dijangka dipersembahkan oleh gerbang. Rujukan sijil dalam muatan menunjuk kepada kelayakan klien, dan medan jenis sijil memilih jenis yang digunakan untuk pengesahan mesin IKEv2. Tiada satu pun daripadanya ialah algoritma tandatangan CA, walaupun perkataannya bertindih.

Rujukan muatan IKEv2 Apple menyenaraikan RSA sebagai jenis sijil lalai dengan varian ECDSA eksplisit, dan ia mengaitkan kunci nama pengeluar dengan tetapan pengesahan tertentu. Baca hubungan itu dalam rujukan untuk kaedah yang anda pilih dan bukan menyalin satu kunci daripada penggunaan yang berfungsi.

Langkah empat: selaraskan identiti gerbang dengan sijilnya

Gunakan nama gerbang eksplisit, contohnya vpn.example.com dan letakkan nama subjek alternatif yang sepadan dalam sijil pelayan. Panduan Apple strongSwan juga menjangkakan penggunaan kunci lanjutan untuk pengesahan pelayan. Memilih RSA atau ECDSA tidak mengubah apa-apa daripada itu: algoritma tidak boleh membaiki ketidakpadanan nama, EKU yang hilang atau rantai yang tidak lengkap.

Mengagihkan sauh kepercayaan ialah tugas berasingan daripada menegaskan identiti. Telefon memerlukan rantaian sijil yang boleh disahkannya, dan ia mesti dikonfigurasikan untuk menjangkakan nama yang benar-benar anda letakkan dalam sijil.

Platform lain yang berjaya bersambung ialah bukti tentang peraturan pengesahan platform itu, bukan kebenaran untuk melonggarkan peraturan telefon. Kekalkan pemeriksaan sama merentas klien kecuali anda mempunyai sebab terdokumentasi untuk berbeza.

Langkah lima: pisahkan identiti klien daripada kepercayaan CA

Sijil klien dan kunci peribadinya bukan objek yang sama dengan sijil CA yang dipercayai telefon. Membungkus sijil CA dalam identiti PKCS#12 tidak memasangnya secara automatik sebagai sauh kepercayaan pada setiap peranti yang disokong, jadi anggap pengagihan kepercayaan sebagai langkah tersendiri dengan pengesahannya sendiri.

Jika reka bentuk menggunakan EAP berasaskan kata laluan pula, telefon memerlukan pengesahan akaun yang dimaksudkan serta pengesahan pelayan. Laluan itu tidak mewajarkan penghantaran satu kunci peribadi klien yang dikongsi kepada seluruh armada, yang merupakan reka bentuk berbeza dengan mod kegagalan yang jauh lebih buruk.

Akhiri rancangan dengan mengambil kira pembaharuan dan pembatalan: siapa mengeluarkan semula kelayakan klien, bagaimana profil dikemas kini dan bagaimana telefon yang hilang diputuskan. Rekodkan versi profil dan versi peranti yang anda sahkan, kerana rekod itulah yang menjadikan penggantian sijil seterusnya sebagai perubahan rutin.