iPhone IKEv2 għal RouterOS: liema identifikatur imur fejn
Erba' talbiet separati jiddeċiedu mina IKEv2 fuq iOS: l-indirizz miċempel, l-identità tas-server mistennija, l-identità tal-klijent iddikjarata u l-materjal taċ-ċertifikat.
Il-wasla tal-gateway MikroTik issolvi biss nofs it-trasport ta' implimentazzjoni IKEv2 u xejn aktar. Imbagħad erba' talbiet separati jiddeċiedu jekk il-mina tifformax: l-indirizz li ċċempel it-telefon, l-identità tas-server li tistenna, l-identità li tiddikjara għaliha nnifisha, u l-materjal taċ-ċertifikat li jsostni dik it-talba. Iċċekkjahom f'dik l-ordni, u waqaf fl-ewwel waħda li ma taqbilx ma' dak li tippreżenta l-gateway. Kull waħda tiġi editjata f'post differenti, u għalhekk editjar żbaljat normalment iċaqlaq il-falliment minflok ma jsewwih.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Iċċekkja l-oqsma tal-profil fl-ordni li juża l-iskambju
L-indirizz remot huwa d-destinazzjoni tal-ewwel pakkett IKE u xejn aktar. L-identifikatur remot huwa dak li t-telefon tistenna li l-gateway tipprova li hi, u huwa isem, mhux rotta. Li timla t-tnejn bl-istess isem tal-host jaħdem meta ċ-ċertifikat tal-gateway iġorr dak l-isem, u jonqos b'mod li jidher bħala problema ta' routing meta ma jġorrux. Aqra l-profil bħala sekwenza ta' talbiet, mhux bħala lista ta' oqsma x'timla.
L-identifikatur lokali huwa t-talba tat-telefon stess, u għandu jkun isem li l-entrata tal-identità ta' RouterOS taċċetta għaċ-ċertifikat tal-klijent li tippreżenta t-telefon. Jekk it-tnejn ma jaqblux, il-gateway tirrifjuta l-konnessjoni wara li ċ-ċertifikat innifsu jkun ivvalidat, u l-log jidher bħala problema ta' awtorizzazzjoni u mhux ta' ismijiet.
Iċċekkja l-identifikaturi kontra dak li tippreżenta l-gateway
Entrata ta' sieħeb RouterOS ikkonfigurata għall-awtentikazzjoni b'ċertifikat tippreżenta ċ-ċertifikat tagħha stess, u l-identità tagħha tinġibed minn dak iċ-ċertifikat sakemm ma tkunx ikkonfigurajt mod ieħor. Jekk l-identifikatur remot tat-telefon isemmi l-isem DNS tal-gateway, iċ-ċertifikat tal-gateway jeħtieġ dak l-isem f'post li t-telefon taċċetta, normalment isem alternattiv tas-suġġett. Ċertifikat maħruġ għal isem komuni ieħor mhu se jivvalida anki jekk iċ-ċavetta u l-katina huma perfetti.
Il-profili Apple immaniġġjati jistgħu wkoll iġorru restrizzjoni tal-isem taċ-ċertifikat li tiġi evalwata flimkien mal-oqsma tal-identifikatur. Ispezzjona l-payload minflok ma tiddeduċi l-isem tal-validazzjoni minn dak li turi l-iskrin tas-settings, għax it-tnejn mhumiex l-istess setting.
Iċċekkja li ċ-ċertifikat tal-klijent huwa ċavetta, mhux biss ankra ta' fiduċja
L-importazzjoni ta' ċertifikat CA tagħti lit-telefon xi ħaġa biex jivvalida l-gateway. Ma tagħtihx identità ta' klijent, u l-awtentikazzjoni b'ċertifikat teħtieġ iċ-ċertifikat tal-werqa tal-klijent u ċ-ċavetta privata tiegħu mgħoddija flimkien permezz tat-triq tar-reġistrazzjoni approvata. PKCS#12 mibni mingħajr iċ-ċavetta privata jipproduċi profil li jinstallat nadif u ma jawtentika xejn.
Il-werqa tal-klijent teħtieġ ukoll identità li tistenna n-naħa ta' RouterOS, jiġifieri s-suġġett jew l-isem alternattiv tas-suġġett irid jaqbel mal-konfigurazzjoni tal-identità korrispondenti. Il-ħruġ taċ-ċertifikati tal-klijent u tas-server minn CA waħda jagħmel il-katina konvenjenti u ma jagħmilx iż-żewġ werqiet interkambjabbli.
Iċċekkja li l-politika ta' RouterOS taċċetta dak l-isem
Fuq il-gateway, l-entrata tas-sieħeb tistabbilixxi l-mod tal-iskambju u l-metodu tal-awtentikazzjoni, u l-entrata tal-identità torbot l-identità remota aċċettata ma' ċertifikat u mal-politika li ssegwi. F'RouterOS v7 dak il-par jingħata permezz tal-entrati tas-sieħeb u tal-identità tal-IPsec, pereżempju sieħeb IKEv2 b'auth-method=digital-signature. Iċċekkja l-kontenut reali tal-menu fir-rilaxx installat tiegħek, mhux gwida miktuba għal waħda eqdem.
Hawnhekk ukoll nuqqas ta' qbil huwa l-aktar irħis biex jiġi ssettjat, għax il-gateway tista' tgħidlek kemm l-identità li rċeviet kif ukoll dik li riedet. It-twessigħ tal-identità aċċettata biex jiskot l-iżball ineħħi l-irbit li ta sens lill-implimentazzjoni.
Iċċekkja liema stadju falla qabel ma tedita xejn
Aqra l-attentat fiż-żewġt iħruba u kklassifikah qabel ma tbiddel proposta. Nuqqas ta' qbil fil-proposta, ċavetta tal-firma nieqsa, emittent mhux affidabbli, identifikatur tas-sieħeb żbaljat u awtorizzazzjoni tal-klijent miċħuda kollha jidhru bħala mina mejta mit-telefon, u kull waħda għandha sid differenti. Li tbiddel il-ħames settings kollha f'daqqa jiggarantixxi li ma titgħallem xejn mir-riżultat.
Irreġistra l-identità ppreżentata, l-identità mistennija, l-emittent u n-numru tas-serje taċ-ċertifikat u l-isem tal-politika rilevanti, filwaqt li żżomm iċ-ċwievet privati u s-sigrieti tal-profil barra minn dik ir-reġistrazzjoni. Ladarba l-awtentikazzjoni tirnexxi, iġġarrab servizz privat u r-risposta tiegħu, għax l-allokazzjoni tal-indirizzi, is-seletturi, id-DNS u l-politika tal-aċċess xorta jridu jaħdmu wara li jispiċċa l-iskambju IKE.