strongSwan EAP: identiti IKE berbanding nama AAA yang dijangka

Pengesahan EAP melalui IKEv2 boleh meminta klien mengesahkan dua nama pelayan berbeza dalam satu sambungan. Gerbang yang menamatkan IKE membentangkan satu identiti, dan bahagian belakang EAP yang menamatkan pertukaran TLS dalaman mungkin membentangkan yang lain. Dalam strongSwan kedua-duanya tinggal dalam blok konfigurasi berbeza, dan meletakkan nama dalam blok yang salah menghasilkan kegagalan yang kelihatan seperti masalah sijil. Membaca pengesahan mana yang gagal itulah yang memberitahu blok mana untuk diedit.

Satu sambungan, dua identiti pelayan

Identiti pertama milik pertukaran IKE. Klien mendail alamat dan mengharapkan rakan membuktikan identiti tertentu, biasanya nama dalam sijil gerbang.

Yang kedua milik EAP. Dengan PEAP atau TTLS, klien membina terowong TLS ke pelayan pengesahan di dalam IKE SA, dan pelayan dalaman itu membentangkan sijilnya sendiri. Apabila bahagian belakang ialah hos berasingan, namanya berbeza daripada nama gerbang. Klien yang hanya memeriksa nama pertama menerima apa sahaja yang didakwa oleh yang kedua. Dan klien yang dikonfigurasikan dengan satu nama di kedua-dua tempat gagal sebaik sahaja kedua-duanya benar-benar berbeza.

Kedua-dua nama datang daripada konfigurasi pengendali, bukan daripada sijil yang menghilangkan ralat. Bertanya kepada pengendali tentang butiran penggunaan lebih cepat daripada meneka dua nama hos.

Medan mana milik lapisan mana

Dalam swanctl, alamat dan identiti IKE ialah tetapan berasingan, dan identiti EAP ialah yang ketiga.

Alamat jauh memilih ke mana paket pergi, dan identiti jauh menyatakan apa yang mesti dibuktikan oleh rakan. Jangkaan EAP ditulis di bawah blok local, kerana ia menerangkan pertukaran EAP klien ini dan bukan tingkah laku IKE rakan. Kedudukan itulah bahagian yang disalah baca orang. Nama itu berada dalam konfigurasi klien sambil menerangkan pelayan, dan sebab itulah ia kelihatan salah tempat.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Serpihan itu bukan sambungan lengkap; bahan kepercayaan, kelayakan dan dasar sambungan anak masih perlu ada. Menyalinnya secara verbatim ke dalam fail kerja akan menggantikan tetapan yang masih anda perlukan.

Mengapa aaa_id tinggal di bawah local

Blok local menerangkan apa yang hujung ini lakukan semasa pengesahan, termasuk kaedah yang akan digunakan dan identiti yang dijangka daripada hujung lain untuk kaedah itu. Tiada apa dalamnya yang mendakwa pelayan AAA berjalan pada mesin yang sama.

Nilai lalai menjadikan perangkap lebih tajam. Apabila tiada nilai eksplisit ditetapkan, identiti AAA yang dijangka mengikut identiti jauh, jadi penggunaan satu nama berfungsi dan menyembunyikan perbezaan. Nilai eksplisit hanya penting apabila penggunaan EAP benar-benar berakhir di tempat lain. Menetapkannya kepada nama lain tanpa sebab itu mencipta kegagalan yang tidak dapat dihasilkan semula oleh pengendali. Baca penggunaan sebelum mencipta nama kedua.

Kekalkan nilai itu sama dengan apa yang sebenarnya didakwa oleh sijil bahagian belakang, termasuk bentuk nama. Titik di hujung atau kad liar yang tidak meliputi hos sudah cukup untuk membuat pemeriksaan gagal.

Antara muka yang tidak dapat menyatakan pemisahan

Profil NetworkManager bukan antara muka konfigurasi yang sama seperti swanctl. Pemalam di belakangnya mendedahkan set kawalan identiti yang lebih sempit, dan yang mana wujud bergantung pada versi yang dipasang.

Itu penting apabila penggunaan benar-benar memerlukan dua nama. Medan berlabel identiti pelayan mungkin mengkonfigurasi satu lapisan dan bukan yang lain, jadi profil boleh kelihatan betul dan masih gagal pemeriksaan dalaman. Semak apa yang disokong oleh pemalam yang dipasang sebelum menganggap profil boleh menyatakan susunan itu. Jika tidak boleh, pilihan itu milik pengendali: laluan peruntukan yang berbeza, atau reka bentuk identiti pelayan yang dibetulkan. Melemahkan PEAP atau menerima sebarang nama mengubah dasar pengesahan dan bukannya membaikinya.

Alternatifnya bukan sesuatu yang direka pada klien. Minta susunan yang disokong secara bertulis, kemudian simpan jawapan itu bersama profil.

Bezakan ketidakpadanan identiti daripada sijil tamat tempoh

Ketidakpadanan nama dan sijil tamat tempoh ialah kegagalan berbeza, dan log membezakannya. Baca mesej sebelum memutuskan medan mana untuk diubah.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Menetapkan identiti AAA yang dimaksudkan tidak memperbaharui sijil atau membina kepercayaan pada pengeluarannya, dan memperbaharui sijil tidak membetulkan nama jangkaan yang salah. Baca pengesahan mana yang gagal sebelum mengedit medan identiti lain. Kemudian muat semula konfigurasi dan sahkan bahawa sambungan yang dimuatkan menunjukkan nilai yang anda tetapkan, kerana fail yang diedit tetapi tidak pernah dimuatkan tidak mengubah apa-apa. Tulis kedua-dua nama dan lapisannya dalam nota penggunaan.