strongSwan EAP: l-identità IKE kontra l-isem AAA mistenni

Klijent strongSwan EAP jista’ jivvalida żewġ ismijiet ta’ server. remote.id ikopri l-gateway IKE u local.aaa_id ikopri s-server EAP; mhumiex l-istess qasam.

L-awtentikazzjoni EAP fuq IKEv2 tista’ titlob mill-klijent jivvalida żewġ ismijiet ta’ server differenti f’konnessjoni waħda. Il-gateway li jtemm IKE jippreżenta identità waħda, u l-backend EAP li jtemm l-iskambju TLS intern jista’ jippreżenta oħra. F’strongSwan dawn jgħixu fi blokki ta’ konfigurazzjoni differenti, u jekk tqiegħed isem fil-blokka ħażina toħroġ falliment li jidher bħal problema ta’ ċertifikat. Il-qari ta’ liema validazzjoni fallett huwa dak li jgħidlek liema blokka għandek tbiddel.

Konnessjoni waħda, żewġ identitajiet ta’ server

L-ewwel identità tappartjeni għall-iskambju IKE. Il-klijent idawwal indirizz u jistenna li l-parti l-oħra tipprova identità partikolari, normalment l-isem fiċ-ċertifikat tal-gateway.

It-tieni tappartjeni għal EAP. B’PEAP jew TTLS, il-klijent jibni mina TLS lejn is-server tal-awtentikazzjoni ġewwa l-IKE SA, u dak is-server intern jippreżenta ċ-ċertifikat tiegħu stess. Meta l-backend huwa host separat, ismu jvarja minn dak tal-gateway. Klijent li jivverifika biss l-ewwel isem jaċċetta dak kollu li tistqarr it-tieni waħda. U klijent konfigurat b’isem wieħed fiż-żewġ postijiet jfalli hekk kif it-tnejn verament ivarjaw.

Iż-żewġ ismijiet ġejjin mill-konfigurazzjoni tal-operatur, mhux miċ-ċertifikat li jneħħi l-iżball. Li tistaqsi lill-operatur dwar id-dettalji tal-varar huwa aktar malajr milli taqta’ żewġ ismijiet ta’ host.

Liema qasam jappartjeni għal liema saff

Fi swanctl l-indirizz u l-identità IKE huma konfigurazzjonijiet separati, u l-identità EAP hija t-tielet.

L-indirizz remot jagħżel fejn imorru l-pakketti, u l-identità remota tgħid x’għandha tipprova l-parti l-oħra. L-aspettattiva EAP tinkiteb taħt il-blokka local, għax tiddeskrivi l-iskambju EAP ta’ dan il-klijent u mhux l-imġiba IKE tal-parti l-oħra. Dan il-post huwa eżattament il-parti li n-nies jaqraw ħażin. L-isem jinsab fil-konfigurazzjoni tal-klijent filwaqt li jiddeskrivi server, u għalhekk teżatt jidher barra minn postu.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Dan is-silta mhijiex konnessjoni kompleta; materjal ta’ fiduċja, kredenzjali u politiki tal-konnessjonijiet ulied għadhom iridu jkunu preżenti. Li tikkupjah verbatim f’fajl tax-xogħol jissostitwixxi konfigurazzjonijiet li għadek bżonnha.

Għalfejn aaa_id jgħix taħt local

Il-blokka local tiddeskrivi x’tagħmel din il-parti waqt l-awtentikazzjoni, inkluż il-metodu li se tuża u l-identità li tistenna mill-parti l-oħra għal dak il-metodu. Xejn fiha ma tistqarr li s-server AAA jaħdem fuq l-istess magna.

Il-valur awtomatiku jagħmel in-nassa aktar qawwija. Meta ma jkunx stabbilit valur espliċitu, l-identità AAA mistennija ssegwi l-identità remota, u allura varar b’isem wieħed jaħdem u jaħbi d-differenza. Valur espliċitu jgħodd biss meta l-varar EAP verament jispicċa x’imkien ieħor. L-istabbiliment tiegħu għal isem differenti mingħajr dak ir-raġuni joħloq falliment li l-operatur ma jistax jirriproduċi. Aqra l-varar qabel ma tinnova isem ieħor.

Żomm il-valur identiku għal dak li ċ-ċertifikat tal-backend verament jistqarr, inkluża l-forma tal-isem. Punt fl-aħħar jew wildcard li ma jkoprix il-host huwa biżżejjed biex il-verifika tfalli.

Interfaċċi li ma jistgħux jesprimu d-diviżjoni

Profil ta’ NetworkManager mhuwiex l-istess interfaċċa ta’ konfigurazzjoni bħal swanctl. Il-plugin warajh jesponi sett idjaq ta’ kontrolli tal-identità, u liema jeżistu jiddependi mill-verżjoni installata.

Dan jgħodd meta l-varar verament jeħtieġ żewġ ismijiet. Qasam immarkat bħala identità tas-server jista’ jikkonfigura saff wieħed u mhux l-ieħor, u allura profil jista’ jidher korrett u xorta jfalli l-verifika interna. Iċċekkja x’jappoġġja l-plugin installat qabel ma tassumi li l-profil jista’ jesprimi dan l-arranġament. Jekk ma jistax, l-għażla hija tal-operatur: mogħdija ta’ provvista differenti, jew disinn tal-identità tas-server ikkoreġut. Id-dgħufija ta’ PEAP jew l-aċċettazzjoni ta’ kwalunkwe isem tibdel il-politika tal-awtentikazzjoni minflok ma tiffissaha.

L-alternattiva mhijiex xi ħaġa li tinħoloq fuq il-klijent. Itlob l-arranġament appoġġjat bil-miktub, imbagħad żomm dik it-tweġiba mal-profil.

Agħraf it-tnuqqis tal-identità minn ċertifikat skadut

Tnuqqis fl-isem u ċertifikat skadut huma fallimenti differenti, u l-log jiddistingwihom. Aqra l-messaġġ qabel ma tiddeċiedi liema qasam tibdel.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

L-istabbiliment tal-identità AAA maħsuba ma jġedded ċertifikat u ma jibnix fiduċja fl-emittent tiegħu, u t-tiġdid ta’ ċertifikat ma jikkoreġix isem mistenni ħażin. Aqra liema validazzjoni fallett qabel ma teditja qasam ieħor tal-identità. Imbagħad erġa’ għabbi l-konfigurazzjoni u kkonferma li l-konnessjoni mgħobbija turi l-valur li stabbilixxejt, għax fajl editjat li qatt ma ġie mgħobbi ma jbiddel xejn. Ikteb iż-żewġ ismijiet u s-saffi tagħhom fin-noti tal-varar.

Artikli relatati