Żewġ identitajiet f'login wieħed tal-IKEv2: l-ewwel il-magna, imbagħad l-utent

Ċertifikat tal-klijent jiġi vvalidat, l-ewwel skambju jitlesta, u mbagħad il-konnessjoni tieqaf bi żball dwar rawnd addizzjonali ta' awtentikazzjoni. Xejn fil-katina taċ-ċertifikati mhu ħażin u xejn fin-netwerk ma nbidel. Il-gateway hija kkonfigurata biex titlob it-tieni prova min-naħa li tgħaqqad, u l-klijent qatt ma tibgħatha. Li tiddeċiedi min jipprova xiex, u b'liema ordni, hija l-ħidma kollha, u tibda billi taqra l-politika mill-punt tat-tarf li qiegħed fuqu. Żewġ provi ta' xorta differenti, f'ordni fissa, huma deċiżjoni tad-disinn u mhux kaxxa tal-immarkar.

Is-sintomu: falliment wara l-ewwel prova b'suċċess

L-ewwel skambju jitlesta u l-log jidher f'saħħtu, sakemm il-gateway titlob identità tal-utent permezz ta' EAP. Imbagħad il-handshake jieqaf jew jirritorna żball tal-protokoll li jsemmi r-rawnd addizzjonali. Ċertifikat tal-magna perfettament validu jiġi miċħud għal raġuni li m'għandha xejn x'taqsam mal-validità tiegħu. Il-politika talbet it-tieni prova, u t-tweġiba tal-klijent qatt ma waslet.

Iż-żewġ deskrizzjonijiet ta' dak il-falliment huma eżatti skont fejn qiegħed. Mill-ġenb tal-klijent jidher qisu server li jirrifjuta ċertifikat validu, u mill-ġenb tas-server qisu klijent li ma jistax itemm il-login. L-istess avveniment jinqara bħala problema ta' fiduċja f'log wieħed u problema ta' kapaċità fl-ieħor. Hija biss il-politika kkonfigurata li tgħidlek liema waħda hija.

X'żżid l-estensjoni u x'ma żżidx

IKEv2 iġorr estensjoni biex iħaddem aktar minn skambju wieħed ta' awtentikazzjoni f'sessjoni waħda. RFC 4739 ipinġi, fost sekwenzi oħra, klijent li jipprova identità taċ-ċertifikat u mbagħad jawtentika persuna permezz ta' EAP. Id-dokument huwa Experimental, jiġifieri l-ebda implimentazzjoni mhija obbligata li tagħtik din il-karatteristika. Tassumi xejn dwar l-appoġġ sakemm il-pari jinnegozjaha.

Iż-żewġ naħat iridu jappoġġaw l-estensjoni u jaqblu fuqha waqt l-iskambju. Gateway ikkonfigurata għat-tieni rawnd ma tistax ġġiegħel klijent jagħmel wieħed, u klijent li jappoġġaha mhux se jużaha jekk is-server ma jitolbhiex. Din l-asimmetrija hija r-raġuni għalfejn il-falliment normalment jidher bħala timeout jew żball tal-protokoll minflok dikjarazzjoni ċara dwar il-kapaċità. Li taqra l-konfigurazzjoni ta' naħa waħda jgħidlek nofs dak li se jiġri.

Prova waħda għal kull punt tat-tarf hija l-forma normali, u dan mhuwiex dak id-disinn. Il-gateway tippreżenta ċ-ċertifikat tagħha, l-utent iwieġeb permezz ta' EAP, u kull naħa awtentikat lill-oħra eżattament darba. Dawk iż-żewġ provi ġejjin minn punti tat-tarf opposti, għalhekk ħadd minnhom ma jgħid xi ħaġa separata dwar il-magna u l-persuna li tużaha.

EAP-TLS hija t-tielet forma, u lanqas din mhija din. Hemmhekk ċertifikat tal-klijent jiġi ppreżentat ġewwa metodu EAP, għalhekk il-klijent xorta jtemm awtentikazzjoni waħda tal-IKE. Il-kredenzjali jistgħu jidhru identiċi għall-każ b'ħafna rawnds filwaqt li l-protokoll iġorr rawnd wieħed minflok tnejn. Għalhekk disinn ikkupjat minn installazzjoni EAP-TLS ifalli eżatt fil-punt fejn hija mistennija t-tieni prova.

L-istess fajl jinqara b'mod differenti fuq il-gateway

L-istess fajl swanctl jinqara b'mod differenti skont fejn jaħdem, u dan huwa l-parti li tfixkel lin-nies. Fuq il-laptop il-gateway hija l-pari, u fuq il-gateway il-laptop huwa l-pari, mela ikteb in-naħa local bħala min jien u n-naħa remote bħala min se naċċetta. Blokka local tiddeskrivi kif dan il-punt tat-tarf jawtentika lilu nnifsu, u blokka remote tiddikjara x'inhi titlob mit-tarf l-ieħor. Li tikkopja blokka bejn iż-żewġ fajls taqleb it-tifsira tagħha mingħajr ma tibdel karakter wieħed. Li tqabbel iż-żewġ fajls ma jgħidlek kważi xejn, għax l-istess kliem ifissru affarijiet opposti f'kull wieħed minnhom.

Il-pożizzjoni ta' sezzjoni tistabbilixxi l-ordni tagħha sakemm numru tar-rawnd ma jagħtix fuqha. Għalhekk sezzjonijiet local jew remote addizzjonali jiddeskrivu rawnds addizzjonali u mhux alternattivi, u n-numru espliċitu tar-rawnd f'ir-referenza ta' swanctl.conf jeżisti preċiżament biex dak l-ordni jsir apposta. Mingħajr dan, li ċċaqlaq blokka jbiddel l-imġiba. Għalhekk ukoll żewġ konfigurazzjonijiet li fuq il-karta jidhru ekwivalenti jistgħu jaġixxu b'ordni maqlub.

Dik ir-regola tal-ordni tipproduċi l-mod ta' falliment li jixraqlu jiftakar. It-tieni blokka remote mhija l-ebda għażla oħra aċċettabbli; hija t-tieni talba, u għalhekk politika li tinqara bħala jew/jew taġixxi bħala u-mbagħad. Politika tal-gateway tista' taċċetta ċ-ċertifikat tal-magna rreġistrata u mbagħad titlob l-iskambju EAP ta' dak l-utent, f'dak l-ordni.

Iddistingwi r-rawnds mill-fatturi indipendenti

Żewġ rawnds mhumiex awtomatikament żewġ fatturi indipendenti. Li tirrepeti prova, jew li żżomm żewġ kredenzjali fl-istess maħżen, ma tagħtix is-saħħa li d-disinn kellu jżid. L-indipendenza hija proprjetà ta' kif jinżammu s-sigrieti u x'jikkompromettihom, mhux ta' kemm l-protokoll iħaddem skambji. Disinn li jgħodd ir-rawnds bħala fatturi jesaġera dak li għandu. Dik id-distinzjoni hija l-aktar importanti meta mistoqsija tal-konformità tistaqsi kemm-il fattur il-login fil-fatt juża.

Ċertifikat tal-magna jipprova l-pussess tal-kjavi aċċettata tiegħu, u xejn aktar. Mhuwiex attestazzjoni tal-hardware u mhuwiex rapport tas-saħħa tal-apparat, għalhekk politika li teħtieġ informazzjoni tal-qagħda teħtieġ mekkaniżmu ieħor. Lanqas il-qasam subject mhu tikket tal-inventarju li tista' tafdaha, għax is-subject jintgħażel minn min ħareġ jew irreġistra ċ-ċertifikat. Jekk id-disinn jeħtieġ prova li l-magna hija f'saħħitha, dik il-prova trid tiġi minn komponent li jkejjel il-magna.

Ikteb x'jipprova fil-fatt kull rawnd qabel ma żżidu. Meta żewġ rawnds jippruvaw l-istess ħaġa darbtejn, it-tieni jżid dewmien u biljetti tal-appoġġ minflok żgurità. Dik in-nota hija wkoll dik li twaqqaf argument dwar jekk ir-rawnd addizzjonali jistħoqqx l-ispiża tiegħu.

Ikteb ir-regola tat-tqabbil u pprova ċ-ċaħdiet

Iddeċiedi liema identitajiet tal-magna jistgħu jitqabbdu ma' liema persuni, u ikteb ir-regola fejn tgħix l-infurzar. Żewġ kredenzjali validi ħdejn xulxin ma jippruvaw xejn dwar it-tqabbil, għax it-tqabbil hija deċiżjoni ta' awtorizzazzjoni u mhux riżultat ta' awtentikazzjoni. Ir-rekords tar-reġistrazzjoni jew il-backend tal-awtentikazzjoni jridu jinfurzaw ir-relazzjoni li trid l-organizzazzjoni.

Imbagħad ipprova dak li għandu jfalli: utent aċċettat fuq magna mhux approvata, utent mhux approvat li għandu l-kredenzjali tal-magna, u pari li ma jistax jagħmel ir-rawnd addizzjonali. Jekk it-tlieta jirċievu fis-skiet l-istess aċċess, il-politika tiddeskrivi intenzjoni minflok ma tinfurzaha. Qabbel il-konfigurazzjoni ddikjarata ma' dak li jirrapporta d-daemon, għax konnessjoni li qatt ma qabblet tidher identika għal regola li għaddiet:

swanctl --list-conns
swanctl --list-sas

Iċċekkja r-rawnds innegozjati u l-awtorizzazzjoni li tirriżulta, mhux biss il-login b'suċċess. U tmurx għal settings antiki tal-IKEv1 XAuth bħala short cut: qabbel il-protokoll, ir-rwoli, l-ordni u l-imġiba reali tal-klijent minflok ma tħassar rawnd meħtieġ sakemm taħdem konnessjoni. Li tħassar ir-rawnd li jfalli hija l-mod kif disinn b'żewġ provi jsir bil-kwiet disinn b'prova waħda li ħadd ma rreveda. Żomm it-tħassir fir-rekord tal-bidliet.