iPhone 'ਤੇ IKEv2 ਸਰਟੀਫਿਕੇਟ ਸੈਟਅਪ: ਮੈਨੂਅਲ ਜਾਂ ਪ੍ਰਬੰਧਿਤ ਰਜਿਸਟ੍ਰੇਸ਼ਨ

RSA ਚੁਣਨਾ ਕਿਉਂਕਿ ਗੇਟਵੇ ਦਾ ਸਰਟੀਫਿਕੇਟ ਟੂਲ ਇਸਨੂੰ ਡਿਫਾਲਟ ਵਜੋਂ ਵਰਤਦਾ ਹੈ, ਉਸ ਮਹੱਤਵਪੂਰਨ ਸਵਾਲ ਤੋਂ ਪਹਿਲਾਂ ਲਿਆ ਗਿਆ ਫ਼ੈਸਲਾ ਹੈ: ਇਹ iPhone ਕਿਵੇਂ ਰਜਿਸਟਰ ਹੋਣਗੇ? ਵਰਤੋਂਕਾਰ ਵੱਲੋਂ ਖੁਦ ਟਾਈਪ ਕੀਤਾ ਕਨੈਕਸ਼ਨ ਅਤੇ ਪ੍ਰਬੰਧਨ ਵੱਲੋਂ ਦਿੱਤਾ ਕਨਫਿਗਰੇਸ਼ਨ ਪ੍ਰੋਫਾਈਲ ਵੱਖਰੀਆਂ ਸੈਟਿੰਗਾਂ ਦਿਖਾਉਂਦੇ ਹਨ, ਅਤੇ ਕੁਝ ਸਰਟੀਫਿਕੇਟ ਚੋਣਾਂ ਇਹਨਾਂ ਦੋ ਮਾਰਗਾਂ ਵਿੱਚੋਂ ਸਿਰਫ਼ ਇੱਕ 'ਤੇ ਹੀ ਹੁੰਦੀਆਂ ਹਨ। ਕ੍ਰਮ ਸਹੀ ਰੱਖੋ ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਯੋਜਨਾ ਛੋਟੀ ਹੋ ਜਾਂਦੀ ਹੈ; ਗਲਤੀ ਕਰੋ ਤਾਂ ਤੁਸੀਂ ਅਜਿਹਾ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਜਾਰੀ ਕਰਦੇ ਹੋ ਜੋ ਫ਼ੋਨ ਵਰਤੇਗਾ ਨਹੀਂ। ਹੇਠਾਂ ਦਿੱਤੇ ਕਦਮਾਂ ਨੂੰ ਕ੍ਰਮ ਵਜੋਂ ਲਵੋ, ਕਿਉਂਕਿ ਹਰ ਇੱਕ ਅਗਲੇ ਲਈ ਉਪਲਬਧ ਚੋਣਾਂ ਨੂੰ ਤੰਗ ਕਰਦਾ ਹੈ।

ਪਹਿਲਾ ਕਦਮ: ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਮਾਰਗ ਚੁਣੋ

ਮੈਨੂਅਲ ਸੈਟਅਪ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਵਰਤੋਂਕਾਰ ਸਰਵਰ ਦਾ ਪਤਾ ਦਰਜ ਕਰਦਾ ਹੈ, ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ ਚੁਣਦਾ ਹੈ ਅਤੇ ਇੰਟਰਫ਼ੇਸ ਵੱਲੋਂ ਮਨਜ਼ੂਰ ਕੋਈ ਵੀ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਦਿੰਦਾ ਹੈ। ਪ੍ਰਬੰਧਿਤ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਪ੍ਰੋਫਾਈਲ ਪਤਾ, ਪਛਾਣਕਰਤਾ ਅਤੇ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਪੇਲੋਡ ਦਾ ਹਵਾਲਾ ਲੈ ਕੇ ਚੱਲਦਾ ਹੈ। ਪ੍ਰਬੰਧਿਤ ਮਾਰਗ ਉਹ ਸੰਜੋਗ ਦੱਸ ਸਕਦਾ ਹੈ ਜੋ ਮੈਨੂਅਲ ਸਕ੍ਰੀਨ ਨਹੀਂ ਦੱਸ ਸਕਦੀ, ਇਸ ਲਈ ਸਰਟੀਫਿਕੇਟ ਦਾ ਫ਼ੈਸਲਾ ਇਸ ਚੋਣ ਤੋਂ ਬਾਅਦ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ, ਪਹਿਲਾਂ ਨਹੀਂ।

ਦੋਵੇਂ ਮਾਰਗ ਫ਼ੋਨ ਦੀ ਪ੍ਰਮਾਣਿਕਤਾ ਕਰ ਸਕਦੇ ਹਨ। ਤੁਸੀਂ ਕੀ ਕਨਫਿਗਰ ਕਰ ਸਕਦੇ ਹੋ ਅਤੇ ਪਛਾਣ ਕਿਸਦੀ ਹੈ, ਇਸ ਵਿੱਚ ਉਹ ਵੱਖਰੇ ਹਨ, ਇਸ ਲਈ ਪ੍ਰਬੰਧਿਤ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਮੈਨੂਅਲ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਐਂਟਰੀ ਨਾਲ ਮਿਲਾਉਣ ਦੀ ਥਾਂ ਜਾਣ-ਬੁੱਝ ਕੇ ਇੱਕ ਚੁਣੋ।

ਦੂਜਾ ਕਦਮ: ਤੁਹਾਡੇ ਚੁਣੇ ਮਾਰਗ ਲਈ ਐਲਗੋਰਿਦਮ ਚੁਣੋ

ਮੈਨੂਅਲ ਤੌਰ 'ਤੇ ਕਨਫਿਗਰ ਕੀਤੇ iPhone ਲਈ, strongSwan ਦੇ iOS ਅੰਤਰ-ਸੰਚਾਲਨ ਨੋਟ RSA ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਦੀ ਸਿਫ਼ਾਰਸ਼ ਕਰਦੇ ਹਨ, ਕਿਉਂਕਿ ਮੈਨੂਅਲ ਕਲਾਇੰਟ ECDSA ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਨਾ ਕਰ ਸਕਦਾ ਹੋਵੇ; ਉਹੀ ਨੋਟ macOS ਨੂੰ ਵੱਖਰਾ ਵੇਖਦੇ ਹਨ। ਇਸਨੂੰ ਸਮਰਥਿਤ ਕਲਾਇੰਟ ਸਮੂਹ ਲਈ ਮਾਰਗਦਰਸ਼ਨ ਵਜੋਂ ਪੜ੍ਹੋ, Apple ਡਿਵਾਈਸਾਂ ਬਾਰੇ ਸਥਾਈ ਕਾਨੂਨ ਵਜੋਂ ਨਹੀਂ। ਪ੍ਰਬੰਧਿਤ ਪ੍ਰੋਫਾਈਲ ਕੋਲ ਵੱਧ ਥਾਂ ਹੈ: ਜਦੋਂ ਪੇਲੋਡ ਅਤੇ ਗੇਟਵੇ ਦੋਵੇਂ ਸਮਰਥਨ ਕਰਦੇ ਹਨ, ਤਾਂ ਇਹ ECDSA ਕਲਾਇੰਟ ਪਛਾਣ ਸਮੇਤ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਚੁਣ ਸਕਦਾ ਹੈ।

ਕੁਝ ਵੀ ਤੈਨਾਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਉਹ iOS ਵਰਜਨ ਜਾਂਚੋ ਜਿਨ੍ਹਾਂ ਨੂੰ ਤੁਸੀਂ ਸੱਚਮੁੱਚ ਸਮਰਥਨ ਦਿੰਦੇ ਹੋ। ਸਭ ਤੋਂ ਨਵੇਂ ਵਰਜਨ 'ਤੇ ਲੈਬ ਦਾ ਫ਼ੋਨ ਪੁਰਾਣੇ ਡਿਵਾਈਸਾਂ ਵਾਲੇ ਫਲੀਟ ਦਾ ਵਰਣਨ ਨਹੀਂ ਕਰਦਾ, ਅਤੇ ਲੈਬ ਵਿੱਚ ਚੱਲਣ ਵਾਲਾ ਐਲਗੋਰਿਦਮ ਖੇਤਰ ਦੇ ਸਭ ਤੋਂ ਪੁਰਾਣੇ ਫ਼ੋਨ 'ਤੇ ਫਿਰ ਵੀ ਫੇਲ੍ਹ ਹੋ ਸਕਦਾ ਹੈ। ਵਰਜਨ ਦੀ ਸੀਮਾ ਯਾਦਦਾਸ਼ਤ ਤੋਂ ਨਹੀਂ, ਡਿਵਾਈਸ ਪ੍ਰਬੰਧਨ ਤੋਂ ਲਵੋ। ਜੇ ਫਲੀਟ ਕਈ ਵਰਜਨਾਂ ਵਿੱਚ ਫੈਲੀ ਹੈ, ਤਾਂ ਪਹਿਲਾਂ ਸਭ ਤੋਂ ਪੁਰਾਣਾ ਟੈਸਟ ਕਰੋ, ਕਿਉਂਕਿ ਮੈਨੂਅਲ ਇੰਟਰਫ਼ੇਸ ਉੱਥੇ ਹੀ ਸਭ ਤੋਂ ਵੱਧ ਸੀਮਤ ਹੈ।

ਤੀਜਾ ਕਦਮ: ਪ੍ਰੋਫਾਈਲ ਫੀਲਡਾਂ ਨੂੰ ਵੱਖਰੀਆਂ ਚੀਜ਼ਾਂ ਵਜੋਂ ਪੜ੍ਹੋ

ਇੱਕੋ ਜਿਹੇ ਨਾਮ ਵਾਲੀਆਂ ਕਈ ਕੁੰਜੀਆਂ ਵੱਖਰੀਆਂ ਵਸਤੂਆਂ ਦਾ ਵਰਣਨ ਕਰਦੀਆਂ ਹਨ। ਦੂਰ ਦਾ ਪਤਾ ਉਹ ਹੋਸਟ ਹੈ ਜਿਸਨੂੰ ਫ਼ੋਨ ਕਾਲ ਕਰਦਾ ਹੈ। ਦੂਰ ਦਾ ਪਛਾਣਕਰਤਾ ਉਹ IKE ਪਛਾਣ ਹੈ ਜੋ ਗੇਟਵੇ ਪੇਸ਼ ਕਰੇਗਾ ਅਜਿਹੀ ਉਮੀਦ ਹੈ। ਪੇਲੋਡ ਦਾ ਸਰਟੀਫਿਕੇਟ ਹਵਾਲਾ ਕਲਾਇੰਟ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਵੱਲ ਇਸ਼ਾਰਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਫੀਲਡ IKEv2 ਮਸ਼ੀਨ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਵਰਤੀ ਕਿਸਮ ਚੁਣਦੀ ਹੈ। ਸ਼ਬਦ ਇੱਕ-ਦੂਜੇ ਵਿੱਚ ਮਿਲਦੇ ਹਨ ਪਰ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ CA ਦਾ ਦਸਤਖਤ ਐਲਗੋਰਿਦਮ ਨਹੀਂ ਹੈ।

Apple ਦਾ IKEv2 ਪੇਲੋਡ ਹਵਾਲਾ RSA ਨੂੰ ਸਪੱਸ਼ਟ ECDSA ਕਿਸਮਾਂ ਸਮੇਤ ਡਿਫਾਲਟ ਸਰਟੀਫਿਕੇਟ ਕਿਸਮ ਵਜੋਂ ਸੂਚੀਬੱਧ ਕਰਦਾ ਹੈ, ਅਤੇ ਜਾਰੀਕਰਤਾ-ਨਾਮ ਕੁੰਜੀ ਨੂੰ ਖਾਸ ਪ੍ਰਮਾਣਿਕਤਾ ਸੈਟਿੰਗਾਂ ਨਾਲ ਜੋੜਦਾ ਹੈ। ਚੱਲ ਰਹੀ ਤੈਨਾਤੀ ਤੋਂ ਇੱਕ ਕੁੰਜੀ ਨਕਲ ਕਰਨ ਦੀ ਥਾਂ ਤੁਹਾਡੇ ਚੁਣੇ ਢੰਗ ਦੇ ਹਵਾਲੇ ਵਿੱਚ ਉਹ ਸੰਬੰਧ ਪੜ੍ਹੋ।

ਚੌਥਾ ਕਦਮ: ਗੇਟਵੇ ਦੀ ਪਛਾਣ ਨੂੰ ਇਸਦੇ ਸਰਟੀਫਿਕੇਟ ਨਾਲ ਮਿਲਾਓ

ਸਪੱਸ਼ਟ ਗੇਟਵੇ ਨਾਮ ਵਰਤੋ, ਜਿਵੇਂ ਕਿ vpn.example.com ਅਤੇ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਮਿਲਦਾ ਬਦਲਵਾਂ ਵਿਸ਼ਾ ਨਾਮ ਰੱਖੋ। strongSwan ਦੀ Apple ਮਾਰਗਦਰਸ਼ਨ ਸਰਵਰ ਪ੍ਰਮਾਣਿਕਤਾ ਲਈ ਵਿਸਤ੍ਰਿਤ ਕੁੰਜੀ ਵਰਤੋਂ ਦੀ ਵੀ ਉਮੀਦ ਕਰਦੀ ਹੈ। RSA ਜਾਂ ECDSA ਚੁਣਨ ਨਾਲ ਇਸ ਵਿੱਚ ਕੁਝ ਨਹੀਂ ਬਦਲਦਾ: ਐਲਗੋਰਿਦਮ ਨਾਮ ਦੀ ਅਸੰਗਤੀ, ਗੁੰਮ EKU ਜਾਂ ਅਧੂਰੀ ਲੜੀ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰ ਸਕਦਾ।

ਭਰੋਸਾ ਐਂਕਰ ਦੀ ਵੰਡ ਪਛਾਣ ਦਾਅਵਾ ਕਰਨ ਤੋਂ ਵੱਖਰਾ ਕੰਮ ਹੈ। ਫ਼ੋਨ ਨੂੰ ਅਜਿਹੀ ਸਰਟੀਫਿਕੇਟ ਲੜੀ ਚਾਹੀਦੀ ਹੈ ਜਿਸਨੂੰ ਇਹ ਜਾਂਚ ਸਕੇ, ਅਤੇ ਇਸਨੂੰ ਉਸ ਨਾਮ ਦੀ ਉਮੀਦ ਕਰਨ ਲਈ ਕਨਫਿਗਰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਸੱਚਮੁੱਚ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਰੱਖਿਆ ਹੈ।

ਕਿਸੇ ਹੋਰ ਪਲੇਟਫਾਰਮ ਦਾ ਸਫਲਤਾਪੂਰਵਕ ਜੁੜਨਾ ਉਸ ਪਲੇਟਫਾਰਮ ਦੇ ਜਾਂਚ ਨਿਯਮਾਂ ਦਾ ਸਬੂਤ ਹੈ, ਫ਼ੋਨ ਦੇ ਨਿਯਮ ਢਿੱਲੇ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ। ਵੱਖਰੇ ਹੋਣ ਦਾ ਦਸਤਾਵੇਜ਼ੀ ਕਾਰਨ ਨਾ ਹੋਵੇ ਤਾਂ ਕਲਾਇੰਟਾਂ ਵਿਚਕਾਰ ਜਾਂਚਾਂ ਇੱਕੋ ਜਿਹੀਆਂ ਰੱਖੋ।

ਪੰਜਵਾਂ ਕਦਮ: ਕਲਾਇੰਟ ਪਛਾਣ ਨੂੰ CA ਭਰੋਸੇ ਤੋਂ ਵੱਖ ਕਰੋ

ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਇਸਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਉਹੀ ਵਸਤੂ ਨਹੀਂ ਹਨ ਜੋ CA ਸਰਟੀਫਿਕੇਟ ਹੈ ਜਿਸ 'ਤੇ ਫ਼ੋਨ ਭਰੋਸਾ ਕਰਦਾ ਹੈ। CA ਸਰਟੀਫਿਕੇਟ ਨੂੰ PKCS#12 ਪਛਾਣ ਦੇ ਅੰਦਰ ਬੰਨ੍ਹਣਾ ਇਸਨੂੰ ਹਰ ਸਮਰਥਿਤ ਡਿਵਾਈਸ 'ਤੇ ਆਪਣੇ ਆਪ ਭਰੋਸਾ ਐਂਕਰ ਵਜੋਂ ਸਥਾਪਿਤ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਭਰੋਸਾ ਵੰਡ ਨੂੰ ਆਪਣੀ ਜਾਂਚ ਵਾਲਾ ਵੱਖਰਾ ਕਦਮ ਮੰਨੋ।

ਜੇ ਡਿਜ਼ਾਈਨ ਇਸ ਦੀ ਥਾਂ ਪਾਸਵਰਡ-ਆਧਾਰਿਤ EAP ਵਰਤਦਾ ਹੈ, ਤਾਂ ਫ਼ੋਨ ਨੂੰ ਲੋੜੀਂਦੀ ਖਾਤਾ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਸਰਵਰ ਜਾਂਚ ਚਾਹੀਦੀ ਹੈ। ਇਹ ਮਾਰਗ ਪੂਰੀ ਫਲੀਟ ਨੂੰ ਇੱਕ ਸਾਂਝਾ ਕਲਾਇੰਟ ਨਿੱਜੀ ਕੁੰਜੀ ਭੇਜਣ ਦਾ ਜਾਇਜ਼ ਨਹੀਂ ਠਹਿਰਾਉਂਦਾ, ਜੋ ਵੱਧ ਖਰਾਬ ਫੇਲ੍ਹ ਹੋਣ ਵਾਲਾ ਵੱਖਰਾ ਡਿਜ਼ਾਈਨ ਹੈ।

ਨਵੀਨੀਕਰਨ ਅਤੇ ਰੱਦ ਕਰਨ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦਿਆਂ ਯੋਜਨਾ ਪੂਰੀ ਕਰੋ: ਕਲਾਇੰਟ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਕੌਣ ਦੁਬਾਰਾ ਜਾਰੀ ਕਰਦਾ ਹੈ, ਪ੍ਰੋਫਾਈਲ ਕਿਵੇਂ ਅੱਪਡੇਟ ਹੁੰਦਾ ਹੈ ਅਤੇ ਗੁੰਮ ਫ਼ੋਨ ਕਿਵੇਂ ਕੱਟਿਆ ਜਾਂਦਾ ਹੈ। ਤੁਸੀਂ ਜਾਂਚੇ ਪ੍ਰੋਫਾਈਲ ਵਰਜਨ ਅਤੇ ਡਿਵਾਈਸ ਵਰਜਨ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਉਹੀ ਰਿਕਾਰਡ ਅਗਲੇ ਸਰਟੀਫਿਕੇਟ ਬਦਲਾਅ ਨੂੰ ਰੁਟੀਨ ਕੰਮ ਬਣਾਉਂਦਾ ਹੈ।