Is-SAN taċ-ċertifikat IKEv2: għala l-verifika tal-identità tfalli

Iċ-ċertifikat tiegħek jingħaqad ma' CA affidabbli, id-dati huma tajbin, u l-pari xorta jirrifjuta li jlesti l-fażi 1 bi żball ta' identità. L-aċċessibbiltà u firma valida huma biss nofs ta' dak li jiċċekkja klijent IKEv2. In-nofs l-ieħor huwa jekk l-identità li jistenna tidhirx fiċ-ċertifikat fil-qasam it-tajjeb, u dik l-aspettattiva hija stabbilita mill-profil, mhux mill-isem tal-fajl taċ-ċertifikat.

Is-sintomu dejjem fl-istess forma

Profil tal-konnessjoni jinbidel minn isem tal-host għal indirizz IP, jew jiġġedded minn ċertifikat li kien iġorr isem DNS għal wieħed li jġorr indirizzi biss, uil-mina tieqaf tinnegozja. Xejn fil-passaġġ tan-netwerk ma nbidel. Il-klijent jasal għall-pari, jirċievi ċertifikat, u jirrifjuta l-identità tal-pari għax l-identifikatur li kien mitlub jistenna mhuwiex rappreżentat fi qasam li jaċċetta. It-tiġdid huwa l-kawża tas-soltu, għax iċ-ċertifikat sostitut spiss jiġi minn mudell differenti minn dak li jissostitwixxi.

Imbagħad iż-żewġ naħat jirreġistraw xi ħaġa mhux utli, u għalhekk il-falliment spiss jiġi rrappurtat bħala problema taċ-ċertifikat. Il-log tal-klijent jista' jsemmi l-identità li ried, u dak l-isem huwa l-ħjiel li trid, mhux id-data tal-iskadenza.

Qabbel it-tip tal-identifikatur, mhux biss il-valur

dNSName SAN u iPAddress SAN huma qasam differenti b'regoli ta' tqabbil differenti, għalhekk ċertifikat li jġorr 203.0.113.10 bħala string DNS ma jissodisfax klijent li jistenna identità IP. Il-validaturi moderni fil-biċċa l-kbira jinjoraw l-isem komuni, għalhekk it-tikketta familjari fid-dettalji taċ-ċertifikat ma tipprova xejn dwar x'se jaqbel. Jekk isem tal-host ġie sostitwit b'indirizz waqt l-issolviment tal-problemi, assumi li l-identità mistennija mxiet miegħu sakemm tkun iċċekkjajt. Qabbel l-string fil-profil mal-string fis-SAN karattru b'karattru, għax punt fl-aħħar jew spazju żejjed huwa biżżejjed.

Il-wildcards huma biss konvenjenza tad-DNS u jsegwu r-regoli tat-tqabbil tagħhom stess, li hija raġuni oħra għala profil ibbażat fuq IP m'għandux qatt jiddependi fuqhom.

Sib fejn kull klijent jaħżen l-aspettattiva

F'strongSwan, il-valur li jitqabbel maċ-ċertifikat jiġi mis-setting tal-identità tal-pari: rightid fil-konfigurazzjoni klassika, jew il-id ta' sezzjoni tal-konnessjoni remota fi swanctl. Id-dokumentazzjoni tiegħu dwar l-interoperabbiltà Apple IKEv2 hija utli hawn għax tispjega l-konvenzjonijiet tal-identità li juża klijent immexxi mill-profil, u dawk il-konvenzjonijiet jispjegaw klassi ta' nuqqas ta' qbil li jidher każwali fuq il-wajer.

Il-profil tal-konfigurazzjoni Apple iġorru qasam tal-identifikatur remot, u l-valur hemmhekk huwa dak li jiċċekkja l-klijent, mhux l-indirizz tas-server fis-settings tal-konnessjoni. Klijenti Windows u tal-apparat kull wieħed għandu l-qasam tiegħu b'il-valur awtomatiku tiegħu, u l-valur awtomatiku spiss isegwi l-indirizz li ttajpjajt. Fejn żewġ qasam ma jaqblux, jirbaħ dak li l-klijent fil-fatt jaqra, u rari jkun dak li editjajt.

Sejjaħ il-profil jew iċ-ċertifikat, b'mod deliberat

Spezzjona ċ-ċertifikat tal-pari b'għodda approvata u elenka l-entrati SAN bit-tipi tagħhom qabel ma tbiddel xejn. Dik l-ispezzjoni ma teħtieġx ċavetta privata u lanqas upload, u ssolvi l-mistoqsija fi ftit sekondi. Jekk id-deploy jippjana identità DNS waħda, iċ-ċertifikat irid iġorrha bħala entrata dNSName, u jekk id-deploy jippjana indirizz, iċ-ċertifikat jeħtieġ entrata iPAddress għal dak l-indirizz eżatt.

Meta ċ-ċertifikat huwa ħażin, itlob wieħed korrett mill-operatur bl-identifikatur mistenni speċifiku. Meta l-profil huwa ħażin, sewwi l-profil u ħalli ċ-ċertifikat. It-tifi tal-validazzjoni tal-identità jneħħi l-iżball u jneħħi l-verifika li l-mina qed titkellem mal-pari li kellek f'moħħok.

Iddokumenta l-identità mistennija għal kull pjattaforma tal-klijent, għax valur li klijent wieħed ifassal awtomatikament jista' jkollu bżonn ikun espliċitu fuq ieħor.

Agħti erba' fatti lit-talba tat-tiġdid

Ikteb l-identifikatur mistenni u t-tip tiegħu, l-entrati SAN li ċ-ċertifikat attwali fil-fatt għandu, il-klijent u l-verżjoni li qed jagħmlu l-verifika, u t-test eżatt tal-iżball. Talba tat-tiġdid mibnija minn dawn l-erba' linji tikseb iċ-ċertifikat it-tajjeb fl-ewwel darba, minflok ieħor bl-istess isem tal-fajl familjari.