IKEv2 ਸਰਟੀਫਿਕੇਟ SAN: ਪਛਾਣ ਜਾਂਚ ਕਿਉਂ ਫੇਲ੍ਹ ਹੁੰਦੀ ਹੈ

ਤੁਹਾਡਾ ਸਰਟੀਫਿਕੇਟ ਭਰੋਸੇਯੋਗ CA ਨਾਲ ਜੁੜਿਆ ਹੈ, ਤਾਰੀਖਾਂ ਠੀਕ ਹਨ, ਅਤੇ ਸਾਥੀ ਅਜੇ ਵੀ ਪਛਾਣ ਗਲਤੀ ਨਾਲ ਪੜਾਅ 1 ਪੂਰਾ ਕਰਨ ਤੋਂ ਇਨਕਾਰ ਕਰਦਾ ਹੈ। ਪਹੁੰਚ ਅਤੇ ਵੈਧ ਦਸਤਖ਼ਤ IKEv2 ਕਲਾਇੰਟ ਜੋ ਜਾਂਚਦਾ ਹੈ ਉਸਦਾ ਸਿਰਫ਼ ਅੱਧਾ ਹਿੱਸਾ ਹਨ। ਦੂਜਾ ਅੱਧ ਇਹ ਹੈ ਕਿ ਉਹ ਜਿਸ ਪਛਾਣ ਦੀ ਉਮੀਦ ਕਰਦਾ ਹੈ ਉਹ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਸਹੀ ਫੀਲਡ ਵਿੱਚ ਦਿਖਦੀ ਹੈ ਜਾਂ ਨਹੀਂ, ਅਤੇ ਇਹ ਉਮੀਦ ਪਰੋਫਾਈਲ ਤੈਅ ਕਰਦਾ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਦਾ ਫ਼ਾਈਲ ਨਾਮ ਨਹੀਂ।

ਲੱਛਣ ਹਮੇਸ਼ਾ ਇੱਕੋ ਆਕਾਰ ਦਾ ਹੁੰਦਾ ਹੈ

ਕਨੈਕਸ਼ਨ ਪਰੋਫਾਈਲ ਹੋਸਟਨਾਮ ਤੋਂ IP ਪਤੇ ਵਿੱਚ ਬਦਲਿਆ ਜਾਂਦਾ ਹੈ, ਜਾਂ DNS ਨਾਮ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਸਿਰਫ਼ ਪਤੇ ਵਾਲੇ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਨਵੀਨੀਕਰਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਅਤੇਟਨਲ ਗੱਲਬਾਤ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ। ਨੈੱਟਵਰਕ ਮਾਰਗ ਵਿੱਚ ਕੁਝ ਨਹੀਂ ਬਦਲਿਆ। ਕਲਾਇੰਟ ਸਾਥੀ ਤੱਕ ਪਹੁੰਚਦਾ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਲੈਂਦਾ ਹੈ, ਅਤੇ ਸਾਥੀ ਦੀ ਪਛਾਣ ਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ ਜਿਸ ਪਛਾਣਕਰਤਾ ਦੀ ਉਮੀਦ ਕਰਨ ਲਈ ਕਿਹਾ ਗਿਆ ਸੀ ਉਹ ਉਸਦੇ ਸਵੀਕਾਰਯੋਗ ਫੀਲਡ ਵਿੱਚ ਦਰਸਾਇਆ ਨਹੀਂ ਗਿਆ। ਨਵੀਨੀਕਰਨ ਆਮ ਕਾਰਨ ਹਨ, ਕਿਉਂਕਿ ਬਦਲਵਾਂ ਸਰਟੀਫਿਕੇਟ ਅਕਸਰ ਉਸ ਤੋਂ ਵੱਖਰੇ ਟੈਂਪਲੇਟ ਤੋਂ ਆਉਂਦਾ ਹੈ ਜਿਸਦੀ ਉਹ ਥਾਂ ਲੈਂਦਾ ਹੈ।

ਫਿਰ ਦੋਵੇਂ ਪਾਸੇ ਕੁਝ ਬੇਕਾਰ ਲੌਗ ਕਰਦੇ ਹਨ, ਇਸੇ ਕਰਕੇ ਅਸਫਲਤਾ ਆਮ ਤੌਰ 'ਤੇ ਸਰਟੀਫਿਕੇਟ ਸਮੱਸਿਆ ਵਜੋਂ ਦਰਜ ਹੁੰਦੀ ਹੈ। ਕਲਾਇੰਟ ਲੌਗ ਲੋੜੀਂਦੀ ਪਛਾਣ ਦਾ ਨਾਮ ਦੱਸ ਸਕਦਾ ਹੈ, ਅਤੇ ਉਹ ਨਾਮ ਹੀ ਤੁਹਾਡਾ ਸੁਰਾਗ ਹੈ, ਮਿਆਦ ਖ਼ਤਮ ਹੋਣ ਦੀ ਤਾਰੀਖ ਨਹੀਂ।

ਪਛਾਣਕਰਤਾ ਦੀ ਕਿਸਮ ਮਿਲਾਓ, ਸਿਰਫ਼ ਮੁੱਲ ਨਹੀਂ

dNSName SAN ਅਤੇ iPAddress SAN ਵੱਖਰੇ ਮੇਲ ਨਿਯਮਾਂ ਵਾਲੇ ਵੱਖਰੇ ਫੀਲਡ ਹਨ, ਇਸ ਲਈ 203.0.113.10 ਨੂੰ DNS ਸਤਰ ਵਜੋਂ ਰੱਖਣ ਵਾਲਾ ਸਰਟੀਫਿਕੇਟ IP ਪਛਾਣ ਦੀ ਉਮੀਦ ਕਰਨ ਵਾਲੇ ਕਲਾਇੰਟ ਨੂੰ ਸੰਤੁਸ਼ਟ ਨਹੀਂ ਕਰਦਾ। ਆਧੁਨਿਕ ਪ੍ਰਮਾਣਕਰਤਾ ਆਮ ਨਾਮ ਨੂੰ ਬਹੁਤ ਹੱਦ ਤੱਕ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੇ ਹਨ, ਇਸ ਲਈ ਸਰਟੀਫਿਕੇਟ ਵੇਰਵਿਆਂ ਵਿੱਚ ਦਿਖਣ ਵਾਲਾ ਦੋਸਤਾਨਾ ਲੇਬਲ ਇਹ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ ਕਿ ਕੀ ਮੇਲ ਖਾਏਗਾ। ਜੇ ਸਮੱਸਿਆ ਨਿਵਾਰਣ ਦੌਰਾਨ ਹੋਸਟਨਾਮ ਨੂੰ ਪਤੇ ਨਾਲ ਬਦਲਿਆ ਗਿਆ, ਤਾਂ ਜਾਂਚਣ ਤੱਕ ਮੰਨ ਲਓ ਕਿ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਵੀ ਉਸ ਨਾਲ ਚਲੀ ਗਈ। ਪਰੋਫਾਈਲ ਦੀ ਸਤਰ ਦੀ SAN ਦੀ ਸਤਰ ਨਾਲ ਅੱਖਰ-ਦਰ-ਅੱਖਰ ਤੁਲਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਅੰਤ ਵਿੱਚ ਇੱਕ ਬਿੰਦੂ ਜਾਂ ਵਾਧੂ ਖਾਲੀ ਥਾਂ ਵੀ ਕਾਫ਼ੀ ਹੈ।

ਵਾਈਲਡਕਾਰਡ ਸਿਰਫ਼ DNS ਦੀ ਸੁਵਿਧਾ ਹਨ ਅਤੇ ਆਪਣੇ ਨਿਯਮਾਂ ਦੀ ਪਾਲਣਾ ਕਰਦੇ ਹਨ, ਇਹ ਇੱਕ ਹੋਰ ਕਾਰਨ ਹੈ ਕਿ IP ਅਧਾਰਿਤ ਪਰੋਫਾਈਲ ਨੂੰ ਕਦੇ ਵੀ ਉਨ੍ਹਾਂ 'ਤੇ ਨਿਰਭਰ ਨਹੀਂ ਕਰਨਾ ਚਾਹੀਦਾ।

ਪਤਾ ਲਗਾਓ ਕਿ ਹਰ ਕਲਾਇੰਟ ਉਮੀਦ ਕਿੱਥੇ ਰੱਖਦਾ ਹੈ

strongSwan ਵਿੱਚ, ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਤੁਲਨਾ ਕੀਤਾ ਜਾਣ ਵਾਲਾ ਮੁੱਲ ਸਾਥੀ ਪਛਾਣ ਸੈਟਿੰਗ ਤੋਂ ਆਉਂਦਾ ਹੈ: rightid ਕਲਾਸਿਕ ਕਨਫਿਗਰੇਸ਼ਨ ਵਿੱਚ, ਜਾਂ id swanctl ਵਿੱਚ ਰਿਮੋਟ ਕਨੈਕਸ਼ਨ ਭਾਗ ਦੇ id ਤੋਂ। Apple IKEv2 ਅੰਤਰ-ਸੰਚਾਲਨਯੋਗਤਾ ਬਾਰੇ ਇਸਦੇ ਦਸਤਾਵੇਜ਼ ਇੱਥੇ ਲਾਭਦਾਇਕ ਹਨ ਕਿਉਂਕਿ ਇਹ ਉਹ ਪਛਾਣ ਰੀਤਾਂ ਸਮਝਾਉਂਦੇ ਹਨ ਜੋ ਪਰੋਫਾਈਲ-ਚਾਲਿਤ ਕਲਾਇੰਟ ਵਰਤਦਾ ਹੈ, ਅਤੇ ਉਹ ਰੀਤਾਂ ਤਾਰ ਉੱਤੇ ਬੇਤਰਤੀਬ ਦਿਖਣ ਵਾਲੀ ਬੇਮੇਲ ਦੀ ਇੱਕ ਸ਼੍ਰੇਣੀ ਦੀ ਵਿਆਖਿਆ ਕਰਦੀਆਂ ਹਨ।

Apple ਕਨਫਿਗਰੇਸ਼ਨ ਪਰੋਫਾਈਲ ਵਿੱਚ ਰਿਮੋਟ ਪਛਾਣਕਰਤਾ ਫੀਲਡ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਉੱਥੋਂ ਦਾ ਮੁੱਲ ਹੀ ਕਲਾਇੰਟ ਜਾਂਚਦਾ ਹੈ, ਕਨੈਕਸ਼ਨ ਸੈਟਿੰਗਾਂ ਵਿੱਚਲਾ ਸਰਵਰ ਪਤਾ ਨਹੀਂ। Windows ਅਤੇ ਉਪਕਰਨ ਕਲਾਇੰਟਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਦਾ ਆਪਣਾ ਫੀਲਡ ਅਤੇ ਆਪਣਾ ਡਿਫਾਲਟ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਡਿਫਾਲਟ ਅਕਸਰ ਤੁਹਾਡੇ ਟਾਈਪ ਕੀਤੇ ਪਤੇ ਦਾ ਪਿੱਛਾ ਕਰਦਾ ਹੈ। ਜਿੱਥੇ ਦੋ ਫੀਲਡ ਅਸਹਿਮਤ ਹੋਣ, ਕਲਾਇੰਟ ਜੋ ਅਸਲ ਵਿੱਚ ਪੜ੍ਹਦਾ ਹੈ ਉਹੀ ਜਿੱਤਦਾ ਹੈ, ਅਤੇ ਉਹ ਤੁਹਾਡੇ ਸੋਧੇ ਹੋਏ ਹੋਣ ਦੀ ਸੰਭਾਵਨਾ ਘੱਟ ਹੈ।

ਪਰੋਫਾਈਲ ਜਾਂ ਸਰਟੀਫਿਕੇਟ ਦੀ ਮੁਰੰਮਤ ਕਰੋ, ਜਾਣਬੁੱਝ ਕੇ

ਕੁਝ ਵੀ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਾਧਨਾਂ ਨਾਲ ਸਾਥੀ ਸਰਟੀਫਿਕੇਟ ਦੀ ਜਾਂਚ ਕਰੋ ਅਤੇ SAN ਐਂਟਰੀਆਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੀਆਂ ਕਿਸਮਾਂ ਸਮੇਤ ਸੂਚੀਬੱਧ ਕਰੋ। ਉਸ ਜਾਂਚ ਲਈ ਨਿੱਜੀ ਕੁੰਜੀ ਜਾਂ ਅੱਪਲੋਡ ਦੀ ਲੋੜ ਨਹੀਂ, ਅਤੇ ਇਹ ਸਵਾਲ ਸਕਿੰਟਾਂ ਵਿੱਚ ਨਿਪਟਾ ਦਿੰਦੀ ਹੈ। ਜੇ ਤੈਨਾਤੀ ਦਾ ਇਰਾਦਾ ਇੱਕ DNS ਪਛਾਣ ਹੈ, ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਉਹ dNSName ਐਂਟਰੀ ਵਜੋਂ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਜੇ ਤੈਨਾਤੀ ਦਾ ਇਰਾਦਾ ਪਤਾ ਹੈ, ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਠੀਕ ਉਸੇ ਪਤੇ ਲਈ iPAddress ਐਂਟਰੀ ਚਾਹੀਦੀ ਹੈ।

ਜੇ ਸਰਟੀਫਿਕੇਟ ਗਲਤ ਹੈ, ਤਾਂ ਖਾਸ ਉਮੀਦ ਕੀਤੇ ਪਛਾਣਕਰਤਾ ਨਾਲ ਸੋਧਿਆ ਹੋਇਆ ਸਰਟੀਫਿਕੇਟ ਆਪਰੇਟਰ ਤੋਂ ਮੰਗੋ। ਜੇ ਪਰੋਫਾਈਲ ਗਲਤ ਹੈ, ਤਾਂ ਪਰੋਫਾਈਲ ਠੀਕ ਕਰੋ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਛੱਡ ਦਿਓ। ਪਛਾਣ ਪ੍ਰਮਾਣਿਕਤਾ ਬੰਦ ਕਰਨ ਨਾਲ ਗਲਤੀ ਗਾਇਬ ਹੋ ਜਾਂਦੀ ਹੈ ਅਤੇ ਇਹ ਜਾਂਚ ਵੀ ਹਟ ਜਾਂਦੀ ਹੈ ਕਿ ਟਨਲ ਤੁਹਾਡੇ ਇਰਾਦੇ ਵਾਲੇ ਸਾਥੀ ਨਾਲ ਗੱਲ ਕਰ ਰਿਹਾ ਹੈ।

ਹਰ ਕਲਾਇੰਟ ਪਲੇਟਫਾਰਮ ਲਈ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਦਸਤਾਵੇਜ਼ਬੱਧ ਕਰੋ, ਕਿਉਂਕਿ ਇੱਕ ਕਲਾਇੰਟ ਦਾ ਆਪਣੇ ਆਪ ਕੱਢਿਆ ਮੁੱਲ ਦੂਜੇ ਉੱਤੇ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਦੇਣਾ ਪੈ ਸਕਦਾ ਹੈ।

ਨਵੀਨੀਕਰਨ ਬੇਨਤੀ ਨੂੰ ਚਾਰ ਤੱਥ ਦਿਓ

ਉਮੀਦ ਕੀਤਾ ਪਛਾਣਕਰਤਾ ਅਤੇ ਉਸਦੀ ਕਿਸਮ, ਮੌਜੂਦਾ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਅਸਲ ਵਿੱਚ ਮੌਜੂਦ SAN ਐਂਟਰੀਆਂ, ਜਾਂਚ ਕਰਨ ਵਾਲਾ ਕਲਾਇੰਟ ਅਤੇ ਵਰਜਨ, ਅਤੇ ਗਲਤੀ ਦਾ ਸਹੀ ਪਾਠ ਲਿਖ ਲਓ। ਇਨ੍ਹਾਂ ਚਾਰ ਲਾਈਨਾਂ ਤੋਂ ਬਣੀ ਨਵੀਨੀਕਰਨ ਬੇਨਤੀ ਪਹਿਲੀ ਵਾਰ ਹੀ ਸਹੀ ਸਰਟੀਫਿਕੇਟ ਲੈਂਦੀ ਹੈ, ਉਸੇ ਜਾਣੇ-ਪਛਾਣੇ ਫ਼ਾਈਲ ਨਾਮ ਵਾਲਾ ਹੋਰ ਸਰਟੀਫਿਕੇਟ ਨਹੀਂ।