IKEv2 indirizz tas-server vs identità: dak li l-klijent fil-fatt jiċċekkja

Gateway li jibdel l-indirizz jista 'jkompli jaħdem filwaqt li l-istess portal wara ċertifikat ġdid jieqaf, u l-maqlub jiġri wkoll. L-indirizz jgħid lill-klijent fejn jibgħat pakketti; l-identità awtentikata tgħid lill-klijent jekk il-pari li jwieġeb hux dak li għandu jafda. IKEv2 iżomm dawk bħala żewġ oqsma separati, li huwa utli ladarba tieqaf tittrattahom bħala string waħda. Huma wkoll ikkonfigurati f'postijiet differenti, sabiex wieħed jista 'jkun korrett filwaqt li l-ieħor huwa żbaljat.

Iċċekkjahom f'din l-ordni u ieqaf fl-ewwel nuqqas ta 'qbil, minħabba li l-kontrolli ta' wara jassumu li dawk preċedenti għaddew.

L-ewwel, liema valur huwa l-indirizz

L-indirizz tal-konnessjoni huwa dak kollu li jsejjaħ il-klijent: IP, isem DNS li jirrisolvi għal wieħed, jew front end ibbilanċjat bit-tagħbija. Jiġifieri informazzjoni dwar it-trasport u xejn aktar. L-identità titlaq fit-tagħbija tal-ID IKEv2 u mbagħad titqabbel maċ-ċertifikat tal-pari. Isem DNS fil-kaxxa tal-indirizz ma jsirx l-identità mistennija, u IP mhux ipproċessat ma jsirx l-identità sempliċement għax is-socket konness miegħu.

F'termini strongSwan, l-indirizz huwa right jew left, u l-identità mistennija hija rightid jew leftid, u dan huwa dak li tiddeskrivi d-dokumentazzjoni tal-konfigurazzjoni IKEv2. Jekk qatt editjt l-indirizz biss, ikkonfigurajt nofs il-par.

It-tieni, dak li ċ-ċertifikat jista 'jipprova

L-identità għandha tip, u ċ-ċertifikat irid ikollu isem li jaqbel. Identità DNS hija sodisfatta b'entrata dNSName fl-estensjoni tal-isem alternattiv tas-suġġett; identità IP teħtieġ dħul iPAddress. Ċertifikat maħruġ għal vpn.example.com ma jipprova xejn dwar l-indirizz letterali 203.0.113.10, u wieħed maħruġ għal dak l-indirizz ma jipprova xejn dwar l-isem. Il-ħruġ mill-ġdid għal isem differenti għalhekk mhuwiex sostituzzjoni drop-in, anki meta l-istess ċavetta u CA jerġgħu jintużaw.

Klijenti moderni jinjoraw l-isem komuni meta jeżisti isem alternattiv tas-suġġett, u ħafna jinjorawh għal kollox. Jekk il-lista SAN ma fihiex il-valur li l-klijent jiċċekkja, il-handshake ifalli wara li ċ-ċertifikat ikun diġà ġie aċċettat bħala affidabbli, u huwa għalhekk li l-ġurnal jinqara bħala żball ta' identità aktar milli żball ta' fiduċja.

It-tielet, kif kull klijent jiddikjara l-aspettattiva

Windows jieħu l-isem jew l-indirizz tas-server li ttajpjajt u jeħtieġ li ċ-ċertifikat jaqbel miegħu, għalhekk it-tajpjar ta' IP joħloq aspettattiva ta' IP. Il-klijent IKEv2 ta' Android iġib ruħu bl-istess mod, u t-tnejn jirrifjutaw ċertifikat validu u fdat pubblikament li jsemmi host differenti. Profil jista' jibda jfalli sempliċement minħabba li xi ħadd issostitwixxa l-isem tal-host bl-indirizz tiegħu waqt migrazzjoni. Ħares lejn dak li talab il-klijent qabel ma tħares lejn dak li fih iċ-ċertifikat.

Fuq strongSwan l-istennija hija espliċita: issettja rightid għall-identità li s-server fil-fatt jippreżenta, li tista’ tkun differenti minn dritt. L-issettjar tiegħu għal %any jaċċetta dak kollu li joffri l-pari u jneħħi eżattament iċ-ċekk li qed tipprova żżomm.

Ir-raba', login separat tal-utent mill-identità tal-pari

L-awtentikazzjoni EAP u l-identità tas-server iwieġbu mistoqsijiet differenti. Identità EAP bħal [email protected] tgħid min hu l-utent, wara li l-klijent ikun iddeċieda li s-server huwa dak it-tajjeb. It-tidwir ta' dik il-password ma jistax jiffissa nuqqas ta' qbil fl-identità tal-pari, minħabba li l-konnessjoni qatt ma tilħaq l-istadju tal-utent tal-login.

Rapport sanitizzat għandu jsemmi t-tnejn: l-identità li l-klijent kien jistenna, l-identità li s-server ippreżenta, u l-entrati SAN taċ-ċertifikat.

Il-ħames, ibdelha permezz ta 'kanal verifikat

Meta l-portal jiċċaqlaq b'mod leġittimu, l-ewwel aġġorna l-indirizz u ħalli l-identità waħedha, għax dak huwa l-każ IKEv2 jimmaniġġja tajjeb. Meta l-identità nnifisha tinbidel, ittrattaha bħala avveniment ta’ fiduċja u ikseb il-valur il-ġdid minn sors li diġà tafda, mhux mill-endpoint li bħalissa qed ifalli. Messaġġ imwassal fuq il-konnessjoni li qed tipprova tivvalida mhuwiex evidenza dwar dik il-konnessjoni.

Irreġistra l-indirizz finali, l-identità u l-lista SAN flimkien fin-noti tal-profil. Il-persuna li jmiss li tmiss iċ-ċertifikat imbagħad tara liema mit-tlieta jitħalla jiċċaqlaq.