IKEv2 ਸਰਵਰ ਪਤਾ ਬਨਾਮ ਪਛਾਣ: ਕਲਾਇੰਟ ਅਸਲ ਵਿੱਚ ਕੀ ਜਾਂਚ ਕਰਦਾ ਹੈ

ਇੱਕ ਗੇਟਵੇ ਜੋ ਪਤਾ ਬਦਲਦਾ ਹੈ ਕੰਮ ਕਰਨਾ ਜਾਰੀ ਰੱਖ ਸਕਦਾ ਹੈ ਜਦੋਂ ਇੱਕ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਦੇ ਪਿੱਛੇ ਵਾਲਾ ਗੇਟਵੇ ਰੁਕ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਉਲਟਾ ਵੀ ਹੁੰਦਾ ਹੈ। ਪਤਾ ਗਾਹਕ ਨੂੰ ਦੱਸਦਾ ਹੈ ਕਿ ਪੈਕੇਟ ਕਿੱਥੇ ਭੇਜਣੇ ਹਨ; ਪ੍ਰਮਾਣਿਤ ਪਛਾਣ ਕਲਾਇੰਟ ਨੂੰ ਦੱਸਦੀ ਹੈ ਕਿ ਕੀ ਪੀਅਰ ਜਵਾਬ ਦੇਣ ਵਾਲਾ ਹੈ ਜਿਸ 'ਤੇ ਭਰੋਸਾ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ। IKEv2 ਉਹਨਾਂ ਨੂੰ ਦੋ ਵੱਖ-ਵੱਖ ਖੇਤਰਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਰੱਖਦਾ ਹੈ, ਜੋ ਕਿ ਉਪਯੋਗੀ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਇੱਕ ਸਤਰ ਦੇ ਰੂਪ ਵਿੱਚ ਮੰਨਣਾ ਬੰਦ ਕਰ ਦਿੰਦੇ ਹੋ। ਉਹ ਵੱਖ-ਵੱਖ ਥਾਵਾਂ 'ਤੇ ਵੀ ਸੰਰਚਿਤ ਕੀਤੇ ਗਏ ਹਨ, ਇਸਲਈ ਇੱਕ ਸਹੀ ਹੋ ਸਕਦਾ ਹੈ ਜਦੋਂ ਕਿ ਦੂਜਾ ਗਲਤ ਹੈ।

ਉਹਨਾਂ ਨੂੰ ਇਸ ਕ੍ਰਮ ਵਿੱਚ ਚੈੱਕ ਕਰੋ ਅਤੇ ਪਹਿਲੀ ਬੇਮੇਲ ਹੋਣ 'ਤੇ ਰੋਕੋ, ਕਿਉਂਕਿ ਬਾਅਦ ਦੀਆਂ ਜਾਂਚਾਂ ਇਹ ਮੰਨਦੀਆਂ ਹਨ ਕਿ ਪਹਿਲਾਂ ਪਾਸ ਹੋਏ ਹਨ।

ਪਹਿਲਾਂ, ਕਿਹੜਾ ਮੁੱਲ ਪਤਾ ਹੈ

ਕਨੈਕਸ਼ਨ ਪਤਾ ਉਹ ਹੁੰਦਾ ਹੈ ਜੋ ਕਲਾਇੰਟ ਡਾਇਲ ਕਰਦਾ ਹੈ: ਇੱਕ IP, ਇੱਕ DNS ਨਾਮ ਜੋ ਇੱਕ ਨੂੰ ਹੱਲ ਕਰਦਾ ਹੈ, ਜਾਂ ਇੱਕ ਲੋਡ-ਸੰਤੁਲਿਤ ਫਰੰਟ ਐਂਡ। ਇਹ ਆਵਾਜਾਈ ਦੀ ਜਾਣਕਾਰੀ ਹੈ ਅਤੇ ਹੋਰ ਕੁਝ ਨਹੀਂ। ਪਛਾਣ IKEv2 ID ਪੇਲੋਡ ਵਿੱਚ ਹੁੰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਪੀਅਰ ਦੇ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਮੇਲ ਖਾਂਦੀ ਹੈ। ਐਡਰੈੱਸ ਬਾਕਸ ਵਿੱਚ ਇੱਕ DNS ਨਾਮ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਨਹੀਂ ਬਣ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਇੱਕ ਕੱਚਾ IP ਪਛਾਣ ਨਹੀਂ ਬਣ ਜਾਂਦਾ ਕਿਉਂਕਿ ਸਾਕਟ ਇਸ ਨਾਲ ਜੁੜਿਆ ਹੋਇਆ ਹੈ।

strongSwan ਸ਼ਬਦਾਂ ਵਿੱਚ, ਪਤਾ right ਜਾਂ left ਹੈ, ਅਤੇ ਸੰਭਾਵਿਤ ਪਛਾਣ rightid ਜਾਂ leftid ਹੈ, ਅਤੇ ਇਹ ਉਹੀ ਹੈ ਜੋ IKEv2 ਸੰਰਚਨਾ ਦਸਤਾਵੇਜ਼ ਵਰਣਨ ਕਰਦਾ ਹੈ। ਜੇਕਰ ਤੁਸੀਂ ਸਿਰਫ਼ ਐਡਰੈੱਸ ਨੂੰ ਸੰਪਾਦਿਤ ਕੀਤਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਅੱਧੇ ਜੋੜੇ ਨੂੰ ਕੌਂਫਿਗਰ ਕੀਤਾ ਹੈ।

ਦੂਜਾ, ਸਰਟੀਫਿਕੇਟ ਕੀ ਸਾਬਤ ਕਰ ਸਕਦਾ ਹੈ

ਪਛਾਣ ਦੀ ਇੱਕ ਕਿਸਮ ਹੈ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਮੇਲ ਖਾਂਦਾ ਨਾਮ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਇੱਕ DNS ਪਛਾਣ ਵਿਸ਼ੇ ਦੇ ਵਿਕਲਪਕ ਨਾਮ ਐਕਸਟੈਂਸ਼ਨ ਵਿੱਚ ਇੱਕ dNSName ਐਂਟਰੀ ਦੁਆਰਾ ਸੰਤੁਸ਼ਟ ਹੈ; ਇੱਕ IP ਪਛਾਣ ਲਈ ਇੱਕ iPAddress ਐਂਟਰੀ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। vpn.example.com ਲਈ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸਰਟੀਫਿਕੇਟ ਸ਼ਾਬਦਿਕ ਪਤੇ 203.0.113.10 ਬਾਰੇ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਉਸ ਪਤੇ ਲਈ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸਰਟੀਫਿਕੇਟ ਨਾਮ ਬਾਰੇ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ। ਇਸ ਲਈ ਕਿਸੇ ਵੱਖਰੇ ਨਾਮ ਲਈ ਮੁੜ ਜਾਰੀ ਕਰਨਾ ਇੱਕ ਡ੍ਰੌਪ-ਇਨ ਬਦਲੀ ਨਹੀਂ ਹੈ, ਭਾਵੇਂ ਇੱਕੋ ਕੁੰਜੀ ਅਤੇ CA ਦੀ ਦੁਬਾਰਾ ਵਰਤੋਂ ਕੀਤੀ ਜਾਵੇ।

ਆਧੁਨਿਕ ਗਾਹਕ ਆਮ ਨਾਮ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੇ ਹਨ ਜਦੋਂ ਇੱਕ ਵਿਸ਼ਾ ਵਿਕਲਪਕ ਨਾਮ ਮੌਜੂਦ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਬਹੁਤ ਸਾਰੇ ਇਸਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਅਣਡਿੱਠ ਕਰਦੇ ਹਨ। ਜੇਕਰ SAN ਸੂਚੀ ਵਿੱਚ ਉਹ ਮੁੱਲ ਸ਼ਾਮਲ ਨਹੀਂ ਹੁੰਦਾ ਜੋ ਕਲਾਇੰਟ ਦੁਆਰਾ ਜਾਂਚਿਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਹੈਂਡਸ਼ੇਕ ਫੇਲ ਹੋ ਜਾਂਦਾ ਹੈ ਜਦੋਂ ਸਰਟੀਫਿਕੇਟ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸੇਮੰਦ ਵਜੋਂ ਸਵੀਕਾਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਇਸ ਲਈ ਲੌਗ ਇੱਕ ਵਿਸ਼ਵਾਸ ਗਲਤੀ ਦੀ ਬਜਾਏ ਇੱਕ ਪਛਾਣ ਗਲਤੀ ਵਾਂਗ ਪੜ੍ਹਦਾ ਹੈ।

ਤੀਸਰਾ, ਹਰੇਕ ਗਾਹਕ ਉਮੀਦ ਕਿਵੇਂ ਦੱਸਦਾ ਹੈ

Windows ਤੁਹਾਡੇ ਦੁਆਰਾ ਟਾਈਪ ਕੀਤਾ ਸਰਵਰ ਨਾਮ ਜਾਂ ਪਤਾ ਲੈਂਦਾ ਹੈ ਅਤੇ ਇਸ ਨਾਲ ਮੇਲ ਕਰਨ ਲਈ ਸਰਟੀਫਿਕੇਟ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਇਸਲਈ ਇੱਕ IP ਟਾਈਪ ਕਰਨਾ ਇੱਕ IP ਉਮੀਦ ਬਣਾਉਂਦਾ ਹੈ। Android ਦਾ IKEv2 ਕਲਾਇੰਟ ਉਸੇ ਤਰ੍ਹਾਂ ਵਿਵਹਾਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਇੱਕ ਵੈਧ, ਜਨਤਕ ਤੌਰ 'ਤੇ ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਅਸਵੀਕਾਰ ਕਰਦੇ ਹਨ ਜੋ ਇੱਕ ਵੱਖਰੇ ਹੋਸਟ ਦਾ ਨਾਮ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਪ੍ਰੋਫਾਈਲ ਸਿਰਫ਼ ਫੇਲ੍ਹ ਹੋਣਾ ਸ਼ੁਰੂ ਕਰ ਸਕਦਾ ਹੈ ਕਿਉਂਕਿ ਕਿਸੇ ਨੇ ਮਾਈਗ੍ਰੇਸ਼ਨ ਦੌਰਾਨ ਹੋਸਟਨਾਮ ਨੂੰ ਇਸਦੇ ਪਤੇ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਹੈ। ਪ੍ਰਮਾਣ-ਪੱਤਰ ਵਿੱਚ ਕੀ ਸ਼ਾਮਲ ਹੈ ਇਹ ਦੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਦੇਖੋ ਕਿ ਗਾਹਕ ਨੇ ਕੀ ਮੰਗਿਆ ਹੈ।

strongSwan 'ਤੇ ਉਮੀਦ ਸਪੱਸ਼ਟ ਹੈ: ਸਰਵਰ ਦੁਆਰਾ ਅਸਲ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ ਜਾਣ ਵਾਲੀ ਪਛਾਣ ਲਈ rightid ਨੂੰ ਸੈੱਟ ਕਰੋ, ਜੋ ਕਿ ਸੱਜੇ ਤੋਂ ਵੱਖਰੀ ਹੋ ਸਕਦੀ ਹੈ। ਇਸਨੂੰ %any 'ਤੇ ਸੈੱਟ ਕਰਨ ਨਾਲ ਪੀਅਰ ਜੋ ਵੀ ਪੇਸ਼ਕਸ਼ ਕਰਦਾ ਹੈ ਉਸ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ ਅਤੇ ਬਿਲਕੁਲ ਉਸੇ ਜਾਂਚ ਨੂੰ ਹਟਾ ਦਿੰਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਰੱਖਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹੋ।

ਚੌਥਾ, ਪੀਅਰ ਪਛਾਣ ਤੋਂ ਵੱਖਰਾ ਉਪਭੋਗਤਾ ਲੌਗਇਨ

EAP ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਸਰਵਰ ਪਛਾਣ ਵੱਖ-ਵੱਖ ਸਵਾਲਾਂ ਦੇ ਜਵਾਬ ਦਿੰਦੀ ਹੈ। ਇੱਕ EAP ਪਛਾਣ ਜਿਵੇਂ ਕਿ [email protected] ਦੱਸਦੀ ਹੈ ਕਿ ਉਪਭੋਗਤਾ ਕੌਣ ਹੈ, ਗਾਹਕ ਦੁਆਰਾ ਇਹ ਫੈਸਲਾ ਕਰਨ ਤੋਂ ਬਾਅਦ ਕਿ ਸਰਵਰ ਸਹੀ ਹੈ। ਉਸ ਪਾਸਵਰਡ ਨੂੰ ਘੁੰਮਾਉਣ ਨਾਲ ਪੀਅਰ ਪਛਾਣ ਦੇ ਮੇਲ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕੀਤਾ ਜਾ ਸਕਦਾ, ਕਿਉਂਕਿ ਕੁਨੈਕਸ਼ਨ ਕਦੇ ਵੀ ਉਪਭੋਗਤਾ-ਲਾਗਇਨ ਪੜਾਅ 'ਤੇ ਨਹੀਂ ਪਹੁੰਚਦਾ ਹੈ।

ਇੱਕ ਰੋਗਾਣੂ-ਮੁਕਤ ਰਿਪੋਰਟ ਵਿੱਚ ਦੋਵਾਂ ਦੇ ਨਾਮ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ: ਗਾਹਕ ਦੁਆਰਾ ਉਮੀਦ ਕੀਤੀ ਜਾਣ ਵਾਲੀ ਪਛਾਣ, ਸਰਵਰ ਦੁਆਰਾ ਪੇਸ਼ ਕੀਤੀ ਗਈ ਪਛਾਣ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਦੀਆਂ SAN ਐਂਟਰੀਆਂ।

ਪੰਜਵਾਂ, ਇਸ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਚੈਨਲ ਰਾਹੀਂ ਬਦਲੋ

ਜਦੋਂ ਗੇਟਵੇ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਚਲਦਾ ਹੈ, ਪਹਿਲਾਂ ਪਤੇ ਨੂੰ ਅੱਪਡੇਟ ਕਰੋ ਅਤੇ ਪਛਾਣ ਨੂੰ ਇਕੱਲੇ ਛੱਡ ਦਿਓ, ਕਿਉਂਕਿ ਅਜਿਹਾ IKEv2 ਚੰਗੀ ਤਰ੍ਹਾਂ ਹੈਂਡਲ ਕਰਦਾ ਹੈ। ਜਦੋਂ ਪਛਾਣ ਖੁਦ ਬਦਲ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਇੱਕ ਟਰੱਸਟ ਇਵੈਂਟ ਵਜੋਂ ਮੰਨੋ ਅਤੇ ਇੱਕ ਸਰੋਤ ਤੋਂ ਨਵਾਂ ਮੁੱਲ ਪ੍ਰਾਪਤ ਕਰੋ ਜਿਸ 'ਤੇ ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਭਰੋਸਾ ਕਰਦੇ ਹੋ, ਨਾ ਕਿ ਅੰਤਮ ਬਿੰਦੂ ਤੋਂ ਜੋ ਵਰਤਮਾਨ ਵਿੱਚ ਅਸਫਲ ਹੋ ਰਿਹਾ ਹੈ। ਜਿਸ ਕੁਨੈਕਸ਼ਨ ਨੂੰ ਤੁਸੀਂ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹੋ, ਉਸ 'ਤੇ ਦਿੱਤਾ ਗਿਆ ਸੁਨੇਹਾ ਉਸ ਕਨੈਕਸ਼ਨ ਬਾਰੇ ਸਬੂਤ ਨਹੀਂ ਹੈ।

ਅੰਤਮ ਪਤਾ, ਪਛਾਣ ਅਤੇ SAN ਸੂਚੀ ਨੂੰ ਪ੍ਰੋਫਾਈਲ ਨੋਟਸ ਵਿੱਚ ਇਕੱਠੇ ਰਿਕਾਰਡ ਕਰੋ। ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਛੂਹਣ ਵਾਲਾ ਅਗਲਾ ਵਿਅਕਤੀ ਫਿਰ ਦੇਖੇਗਾ ਕਿ ਤਿੰਨਾਂ ਵਿੱਚੋਂ ਕਿਸ ਨੂੰ ਜਾਣ ਦੀ ਇਜਾਜ਼ਤ ਹੈ।