Kif l-awtentikazzjoni ibrida ta' IKEv1 tgħaddi għall-awtentikazzjoni tal-utenti ta' IKEv2
Il-modalità ibrida kienet tifred il-prova tal-gateway mill-prova tal-utent. It-tranżizzjoni għal IKEv2 iżżomm dak il-fird, iżda tbiddel l-iskambju, il-metodu EAP u l-kontrolli taċ-ċertifikat.
Kull profil VPN antik li jitlob ċertifikat tas-server u mbagħad isem tal-utent iġorr żewġ avvenimenti ta' awtentikazzjoni fi skambju wieħed, u dik il-forma tgħix itwal mill-protokoll li introduċiha. Il-modalità ibrida ta' IKEv1 inbniet eżattament għal dan: il-gateway jipprova lilu nnifsu b'ċavetta pubblika filwaqt li l-utent jipprova lilu nnifsu aktar tard permezz ta' XAuth. IKEv2 jesprimi l-istess idea f'żewġ passi b'meccanizmu differenti, u f'dawk id-differenzi jonqsu l-migrazzjonijiet. L-ebda numru tal-verżjoni ma jibdel wieħed fl-ieħor, u l-kopja tal-ismijiet antiki tal-għażliet fi profil ġdid tagħti klijent li jinnegozja u mbagħad ma jawtentika xejn.
X'għamlet il-modalità ibrida ġewwa IKEv1
Fi profil ibridu l-parti li twieġeb tiffirma l-iskambju tal-ewwel fażi biċ-ċertifikat tagħha filwaqt li l-inizjatur deliberatament ma jippreżenta l-ebda. Għalhekk il-prova tal-identità hija asimmetrika, u dan huwa dak li ppermetta lil gateway iżomm il-PKI eżistenti filwaqt li l-utenti żammew il-passwords tad-directory tagħhom. Meta l-ewwel fażi titlesta, XAuth jaħdem bħala talba u tweġiba li jġorru l-attributi tal-isem tal-utent u l-password ġewwa l-kanal ISAKMP diġà kriptat.
Innota fejn tinżel il-fiduċja. Iċ-ċertifikat iwieġeb liema gateway wasal il-klijent; XAuth iwieġeb liema utent irid aċċess. L-ebda ma tissostitwixxi lill-oħra, u klijent konfigurat biex jaċċetta kwalunkwe ċertifikat tas-server bil-kwiet warrab l-ewwel tweġiba. It-tikketta ibrida tintuża wkoll għall-modalità aggressiva b'ċavetta maqsuma minn qabel flimkien ma' XAuth, arranġament ieħor bl-istess esperjenza tal-utent, għalhekk aqra l-profil u mhux l-isem. Iż-żewġ varjanti ġejjin minn abbozzi li qatt ma saru standards, u għalhekk żewġ manifatturi jistgħu jimplimentaw il-modalità ibrida u ma jaħdmux flimkien ma' ħadd.
Kif IKEv2 jilħaq l-istess żewġ provi
IKEv2 jaqsam ix-xogħol bejn IKE_SA_INIT u IKE_AUTH. L-ewwel skambju jaqbel fuq proposti u ċaviet mingħajr ebda identità; it-tieni jġorr IDi, IDr u l-payloads AUTH. Taħt EAP l-ewwel payload AUTH tal-inizjatur joħroġ vojt, il-parti li twieġeb tawtentika ruħha l-ewwel biċ-ċertifikat u l-firma tagħha, u mbagħad il-konversazzjoni EAP tmur ġewwa l-messaġġi IKE_AUTH.
Il-mekkaniżmu li jagħmel dan sigur huwa materjal taċ-ċavetta. Metodu EAP li jirnexxi jesporta ċavetta tas-sessjoni, u l-aħħar payload AUTH tal-inizjatur huwa kkalkulat minnha, għalhekk il-prova tal-utent u ċ-ċaviet tal-mina huma marbuta flimkien. XAuth m'għandhiex ekwivalenti: l-attributi tagħha jaslu wara l-ewwel fażi u ma jikkontribwixxu xejn għaċ-ċaviet. Dak il-vojt kien eżattament dak li l-qafas ta' IKEv2 kien imfassal biex jagħlaq, u għalhekk login ta' IKEv2 li jaħdem jivvalida ċ-ċertifikat tas-server qabel ma jitlob xi ħaġa.
Dan l-ordni huwa wkoll dijanjożi utli. Meta klijent jilmenta dwar il-kredenzjali qabel ma jkun wriek ċertifikat, huwa mhux qed jagħmel skambju EAP ta' IKEv2 xejn.
Żomm tliet identitajiet separati
Migrazzjoni tmur ħażin meta tliet identitajiet jaqgħu fi qasam wieħed. Hemm l-identità tal-gateway li l-klijent jivvalida, normalment isem DNS fis-subject jew fis-SAN taċ-ċertifikat. Hemm l-identità tal-utent ippreżentata fl-EAP, forsi login tad-dominju, indirizz jew string espliċita tal-identità EAP. U hemm is-sors tal-awtorizzazzjoni li jimmappa dak l-utent fuq netwerks u rotot.
Is-sintassi swanctl ta' strongSwan tagħmel il-fird viżibbli: il-konnessjoni tissettja remote { auth = pubkey } għall-gateway u local { auth = eap-mschapv2 } għall-utent, bl-identità EAP tinġarr separatament.
Meta l-identità tal-utent fil-profil il-ġdid hija differenti mill-attributi antiki ta' XAuth, pereżempju UPN minflok isem qasir, is-server tal-awtentikazzjoni jara utent mhux magħruf u l-falliment jidher bħala password ħażina. Iċċekkja l-string tal-identità qabel ma tiċċekkja l-kredenzjali.
Ippjana l-għażliet u mbagħad stenna n-nases
Il-mappa hija qasira u kull ringiela għandha nassa li tidher biss fil-ħin tal-awtentikazzjoni.
| Legacy hybrid element | IKEv2 equivalent | Where it bites |
|---|---|---|
| Gateway certificate, no client certificate | Responder authenticated with pubkey, initiator with EAP | The server needs an EAP method configured, not just a certificate |
| XAuth username and password | EAP-MSCHAPv2 or an inner method | Password policy and account format differ from the old directory field |
| XAuth attribute replies | IKEv2 configuration payload | Attribute numbering is unrelated; nothing is renamed |
| Proxy IDs from quick mode | TS_i and TS_r in IKE_AUTH | Narrowing on the responder can leave an IKE SA with no child SA |
Ħadd minn dawk ir-ringieli mhuwa biss bidla tal-isem. Il-payload tal-konfigurazzjoni jwassal indirizzi u resolvers permezz ta' lista ta' attributi tipizzati, filwaqt li l-ispazju tal-attributi ta' XAuth kien invenzjoni tiegħu stess; li tittrattahom bħala skambjabbli hija l-mod kif profil jispiċċa jitlob setting li l-gateway qatt mhu se jibgħat.
Il-seletturi tat-traffiku jistħoqqilhom twissija tagħhom. IKEv1 esprima t-traffiku ta' interess permezz ta' IDs proxy marbuta ma' skambju quick mode, filwaqt li IKEv2 jinnegozja s-seletturi waqt IKE_AUTH u l-parti li twieġeb tista' tiddejjaqhom. Nuqqas ta' qbil jipproduċi IKE SA stabbilit mingħajr child SA, li xi klijenti jgħoġbu juru bħala konness.
Ittratta l-konnessjoni antika bħala fruntiera
RFC 9395 jiddikjara IKEv1 bħala skadut, għalhekk konnessjoni ibrida antika hija fruntiera ta' kompatibilità b'data, mhux pedament. Mexxi ż-żewġ profili spalla ma' spalla waqt il-bidla, għax it-test li jgħodd mhuwiex jekk il-profil il-ġdid jitla', iżda jekk l-istess utent fl-istess apparat jilħaqx l-istess riżorsi.
Żomm il-validazzjoni taċ-ċertifikat stretta sal-aħħar. Meta l-klijent jieqaf jippreżenta ċ-ċertifikat tiegħu, it-tentazzjoni hija li tħoll il-kontroll tas-server sakemm titlesta l-handshake, u dan ibiddel l-unika prova li baqa' bi stilla ħadra.
Ikteb erba' affarijiet qabel ma tirtira l-profil antik: il-metodu EAP, il-string tal-identità, is-sors tal-awtorizzazzjoni u d-data li fiha tintemm l-appoġġ.