iPhone IKEv2 ਤੋਂ RouterOS ਤੱਕ: ਕਿਹੜੀ ਪਛਾਣ ਕਿੱਥੇ ਜਾਂਦੀ ਹੈ
iOS 'ਤੇ IKEv2 ਸੁਰੰਗ ਨੂੰ ਚਾਰ ਵੱਖਰੇ ਦਾਅਵੇ ਤੈਅ ਕਰਦੇ ਹਨ: ਡਾਇਲ ਕੀਤਾ ਪਤਾ, ਉਮੀਦ ਕੀਤੀ ਸਰਵਰ ਪਛਾਣ, ਦਾਅਵਾ ਕੀਤੀ ਕਲਾਇੰਟ ਪਛਾਣ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਸਮੱਗਰੀ।
MikroTik ਗੇਟਵੇ ਤੱਕ ਪਹੁੰਚਣਾ IKEv2 ਤਾਇਨਾਤੀ ਦਾ ਸਿਰਫ਼ ਟਰਾਂਸਪੋਰਟ ਅੱਧਾ ਹਿੱਸਾ ਹੱਲ ਕਰਦਾ ਹੈ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਇਸ ਤੋਂ ਬਾਅਦ ਚਾਰ ਵੱਖਰੇ ਦਾਅਵੇ ਤੈਅ ਕਰਦੇ ਹਨ ਕਿ ਸੁਰੰਗ ਬਣੇਗੀ ਜਾਂ ਨਹੀਂ: ਉਹ ਪਤਾ ਜੋ ਫ਼ੋਨ ਡਾਇਲ ਕਰਦਾ ਹੈ, ਉਹ ਸਰਵਰ ਪਛਾਣ ਜਿਸ ਦੀ ਉਹ ਉਮੀਦ ਕਰਦਾ ਹੈ, ਉਹ ਪਛਾਣ ਜੋ ਉਹ ਆਪਣੇ ਲਈ ਦਾਅਵਾ ਕਰਦਾ ਹੈ, ਅਤੇ ਉਹ ਸਮੱਗਰੀ ਜੋ ਉਸ ਦਾਅਵੇ ਦਾ ਸਮਰਥਨ ਕਰਦੀ ਹੈ। ਇਹਨਾਂ ਨੂੰ ਇਸੇ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚੋ, ਅਤੇ ਪਹਿਲੇ ਉਸ ਦਾਅਵੇ 'ਤੇ ਰੁਕੋ ਜੋ ਗੇਟਵੇ ਵੱਲੋਂ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਨਾਲ ਮੇਲ ਨਹੀਂ ਖਾਂਦਾ। ਹਰ ਇੱਕ ਵੱਖਰੀ ਥਾਂ 'ਤੇ ਸੰਪਾਦਿਤ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਗ਼ਲਤ ਸੰਪਾਦਨ ਆਮ ਤੌਰ 'ਤੇ ਨੁਕਸ ਨੂੰ ਠੀਕ ਕਰਨ ਦੀ ਬਜਾਏ ਹਿਲਾ ਦਿੰਦਾ ਹੈ।
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
ਪ੍ਰੋਫ਼ਾਈਲ ਖੇਤਰਾਂ ਨੂੰ ਉਸੇ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚੋ ਜਿਸ ਵਿੱਚ ਤਬਾਦਲਾ ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ
ਦੂਰ ਦਾ ਪਤਾ ਪਹਿਲੇ IKE ਪੈਕੇਟ ਦੀ ਮੰਜ਼ਿਲ ਹੈ ਅਤੇ ਇਸ ਤੋਂ ਵੱਧ ਕੁਝ ਨਹੀਂ। ਦੂਰ ਦਾ ਪਛਾਣਕਰਤਾ ਉਹ ਹੈ ਜੋ ਫ਼ੋਨ ਉਮੀਦ ਕਰਦਾ ਹੈ ਕਿ ਗੇਟਵੇ ਆਪਣੇ ਆਪ ਨੂੰ ਸਾਬਤ ਕਰੇਗਾ, ਅਤੇ ਇਹ ਨਾਮ ਹੈ, ਰਾਹ ਨਹੀਂ। ਦੋਵਾਂ ਨੂੰ ਇੱਕੋ ਹੋਸਟਨਾਮ ਨਾਲ ਭਰਨਾ ਤਦ ਕੰਮ ਕਰਦਾ ਹੈ ਜਦੋਂ ਗੇਟਵੇ ਦੇ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਉਹ ਨਾਮ ਹੋਵੇ, ਅਤੇ ਨਾ ਹੋਣ 'ਤੇ ਰਾਊਟਿੰਗ ਸਮੱਸਿਆ ਵਾਂਗ ਦਿਸਣ ਵਾਲੇ ਢੰਗ ਨਾਲ ਫੇਲ੍ਹ ਹੁੰਦਾ ਹੈ। ਪ੍ਰੋਫ਼ਾਈਲ ਨੂੰ ਭਰਨ ਵਾਲੇ ਖੇਤਰਾਂ ਦੀ ਸੂਚੀ ਵਜੋਂ ਨਹੀਂ, ਦਾਅਵਿਆਂ ਦੀ ਲੜੀ ਵਜੋਂ ਪੜ੍ਹੋ।
ਸਥਾਨਕ ਪਛਾਣਕਰਤਾ ਫ਼ੋਨ ਦਾ ਆਪਣਾ ਦਾਅਵਾ ਹੈ, ਅਤੇ ਇਹ ਉਹ ਨਾਮ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਫ਼ੋਨ ਵੱਲੋਂ ਪੇਸ਼ ਕੀਤੇ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਲਈ RouterOS ਪਛਾਣ ਐਂਟਰੀ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ। ਜੇ ਦੋਵੇਂ ਨਾ ਮਿਲਣ, ਤਾਂ ਸਰਟੀਫਿਕੇਟ ਦੇ ਆਪ ਪ੍ਰਮਾਣਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ ਗੇਟਵੇ ਕਨੈਕਸ਼ਨ ਨੂੰ ਰੱਦ ਕਰ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਲਾਗ ਨਾਮਕਰਨ ਦੀ ਨਹੀਂ, ਅਧਿਕਾਰ ਦੀ ਸਮੱਸਿਆ ਵਾਂਗ ਦਿਸਦੀ ਹੈ।
ਪਛਾਣਕਰਤਾਵਾਂ ਨੂੰ ਗੇਟਵੇ ਵੱਲੋਂ ਪੇਸ਼ ਕੀਤੇ ਨਾਲ ਜਾਂਚੋ
ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣੀਕਰਨ ਲਈ ਸੰਰਚਿਤ RouterOS ਪੀਅਰ ਐਂਟਰੀ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦੀ ਹੈ, ਅਤੇ ਬਾਕੀ ਤਰੀਕੇ ਨਾਲ ਸੰਰਚਿਤ ਨਾ ਕੀਤਾ ਹੋਣ 'ਤੇ ਉਸ ਦੀ ਪਛਾਣ ਉਸੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਲਈ ਜਾਂਦੀ ਹੈ। ਜੇ ਫ਼ੋਨ ਦਾ ਦੂਰ ਦਾ ਪਛਾਣਕਰਤਾ ਗੇਟਵੇ ਦਾ DNS ਨਾਮ ਦੱਸਦਾ ਹੈ, ਤਾਂ ਗੇਟਵੇ ਦੇ ਸਰਟੀਫਿਕੇਟ ਵਿੱਚ ਉਹ ਨਾਮ ਉਸ ਥਾਂ ਲੋੜੀਂਦਾ ਹੈ ਜੋ ਫ਼ੋਨ ਸਵੀਕਾਰ ਕਰੇ, ਆਮ ਤੌਰ 'ਤੇ ਵਿਸ਼ੇ ਦੇ ਬਦਲਵੇਂ ਨਾਮ ਵਿੱਚ। ਕਿਸੇ ਹੋਰ ਆਮ ਨਾਮ ਲਈ ਜਾਰੀ ਸਰਟੀਫਿਕੇਟ ਕੁੰਜੀ ਅਤੇ ਲੜੀ ਸਹੀ ਹੋਣ 'ਤੇ ਵੀ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਹੋਵੇਗਾ।
ਪ੍ਰਬੰਧਿਤ Apple ਪ੍ਰੋਫ਼ਾਈਲ ਪਛਾਣਕਰਤਾ ਖੇਤਰਾਂ ਤੋਂ ਇਲਾਵਾ ਮੁਲਾਂਕਣ ਹੋਣ ਵਾਲੀ ਸਰਟੀਫਿਕੇਟ-ਨਾਮ ਪਾਬੰਦੀ ਵੀ ਰੱਖ ਸਕਦੇ ਹਨ। ਸੈਟਿੰਗਾਂ ਸਕ੍ਰੀਨ ਜੋ ਦਿਖਾਉਂਦੀ ਹੈ ਉਸ ਤੋਂ ਪ੍ਰਮਾਣਿਤ ਨਾਮ ਦਾ ਅੰਦਾਜ਼ਾ ਲਾਉਣ ਦੀ ਬਜਾਏ ਪੇਲੋਡ ਦੀ ਜਾਂਚ ਕਰੋ, ਕਿਉਂਕਿ ਦੋਵੇਂ ਇੱਕੋ ਸੈਟਿੰਗ ਨਹੀਂ ਹਨ।
ਜਾਂਚੋ ਕਿ ਕਲਾਇੰਟ ਸਰਟੀਫਿਕੇਟ ਕੁੰਜੀ ਹੈ, ਸਿਰਫ਼ ਭਰੋਸੇ ਦਾ ਆਧਾਰ ਨਹੀਂ
CA ਸਰਟੀਫਿਕੇਟ ਆਯਾਤ ਕਰਨ ਨਾਲ ਫ਼ੋਨ ਨੂੰ ਗੇਟਵੇ ਪ੍ਰਮਾਣਿਤ ਕਰਨ ਲਈ ਕੁਝ ਮਿਲਦਾ ਹੈ। ਇਸ ਨਾਲ ਫ਼ੋਨ ਨੂੰ ਕਲਾਇੰਟ ਪਛਾਣ ਨਹੀਂ ਮਿਲਦੀ, ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਮਾਣੀਕਰਨ ਲਈ ਕਲਾਇੰਟ ਪੱਤੇ ਦਾ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਸ ਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਰਾਹੀਂ ਇਕੱਠੇ ਪਹੁੰਚਾਉਣੇ ਪੈਂਦੇ ਹਨ। ਨਿੱਜੀ ਕੁੰਜੀ ਤੋਂ ਬਿਨਾਂ ਬਣਿਆ PKCS#12 ਸਾਫ਼-ਸੁਥਰਾ ਸਥਾਪਿਤ ਹੋਣ ਵਾਲਾ ਪਰ ਕੁਝ ਵੀ ਪ੍ਰਮਾਣਿਤ ਨਾ ਕਰਨ ਵਾਲਾ ਪ੍ਰੋਫ਼ਾਈਲ ਬਣਾਉਂਦਾ ਹੈ।
ਕਲਾਇੰਟ ਪੱਤੇ ਨੂੰ RouterOS ਪਾਸੇ ਵੱਲੋਂ ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ ਵੀ ਚਾਹੀਦੀ ਹੈ, ਭਾਵ ਵਿਸ਼ਾ ਜਾਂ ਵਿਸ਼ੇ ਦਾ ਬਦਲਵਾਂ ਨਾਮ ਸੰਬੰਧਿਤ ਪਛਾਣ ਸੰਰਚਨਾ ਨਾਲ ਮੇਲ ਖਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇੱਕੋ CA ਤੋਂ ਕਲਾਇੰਟ ਅਤੇ ਸਰਵਰ ਸਰਟੀਫਿਕੇਟ ਜਾਰੀ ਕਰਨਾ ਲੜੀ ਨੂੰ ਸੁਵਿਧਾਜਨਕ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਦੋਵੇਂ ਪੱਤਿਆਂ ਨੂੰ ਆਪਸ ਵਿੱਚ ਬਦਲਣਯੋਗ ਨਹੀਂ ਬਣਾਉਂਦਾ।
ਜਾਂਚੋ ਕਿ RouterOS ਨੀਤੀ ਉਹ ਨਾਮ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ
ਗੇਟਵੇ 'ਤੇ ਪੀਅਰ ਐਂਟਰੀ ਤਬਾਦਲਾ ਮੋਡ ਅਤੇ ਪ੍ਰਮਾਣੀਕਰਨ ਢੰਗ ਤੈਅ ਕਰਦੀ ਹੈ, ਅਤੇ ਪਛਾਣ ਐਂਟਰੀ ਸਵੀਕਾਰ ਕੀਤੀ ਦੂਰ ਦੀ ਪਛਾਣ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਉਸ ਤੋਂ ਬਾਅਦ ਦੀ ਨੀਤੀ ਨਾਲ ਜੋੜਦੀ ਹੈ। RouterOS v7 ਵਿੱਚ ਇਹ ਜੋੜੀ IPsec ਪੀਅਰ ਅਤੇ ਪਛਾਣ ਐਂਟਰੀਆਂ ਰਾਹੀਂ ਪ੍ਰਗਟ ਹੁੰਦੀ ਹੈ, ਜਿਵੇਂ auth-method=digital-signature ਵਾਲੀ IKEv2 ਪੀਅਰ। ਪੁਰਾਣੇ ਸੰਸਕਰਣ ਲਈ ਲਿਖੀ ਗਾਈਡ ਨਹੀਂ, ਆਪਣੇ ਸਥਾਪਿਤ ਸੰਸਕਰਣ ਦੀ ਅਸਲ ਮੀਨੂ ਸਮੱਗਰੀ ਜਾਂਚੋ।
ਇੱਥੇ ਹੀ ਅਸੰਗਤੀ ਸੁਧਾਰਨਾ ਸਭ ਤੋਂ ਸਸਤਾ ਹੈ, ਕਿਉਂਕਿ ਗੇਟਵੇ ਤੁਹਾਨੂੰ ਪ੍ਰਾਪਤ ਹੋਈ ਅਤੇ ਚਾਹੀਦੀ ਦੋਵੇਂ ਪਛਾਣ ਦੱਸ ਸਕਦਾ ਹੈ। ਤਰੁੱਟੀ ਨੂੰ ਸ਼ਾਂਤ ਕਰਨ ਲਈ ਸਵੀਕਾਰ ਕੀਤੀ ਪਛਾਣ ਨੂੰ ਚੌੜਾ ਕਰਨਾ ਉਹ ਬੰਧਨ ਹਟਾ ਦਿੰਦਾ ਹੈ ਜਿਸ ਨੇ ਤਾਇਨਾਤੀ ਨੂੰ ਅਰਥ ਦਿੱਤਾ ਸੀ।
ਕੁਝ ਵੀ ਸੰਪਾਦਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਜਾਂਚੋ ਕਿ ਕਿਹੜਾ ਪੜਾਅ ਫੇਲ੍ਹ ਹੋਇਆ
ਦੋਵੇਂ ਸਿਰਿਆਂ 'ਤੇ ਕੋਸ਼ਿਸ਼ ਪੜ੍ਹੋ ਅਤੇ ਪ੍ਰਸਤਾਵ ਬਦਲਣ ਤੋਂ ਪਹਿਲਾਂ ਉਸ ਦੀ ਸ਼੍ਰੇਣੀ ਬਣਾਓ। ਪ੍ਰਸਤਾਵ ਦੀ ਅਸੰਗਤੀ, ਗੁੰਮ ਦਸਤਖ਼ਤ ਕੁੰਜੀ, ਭਰੋਸੇਯੋਗ ਨਾ ਹੋਣ ਵਾਲਾ ਜਾਰੀਕਰਤਾ, ਗ਼ਲਤ ਪੀਅਰ ਪਛਾਣਕਰਤਾ ਅਤੇ ਰੱਦ ਕੀਤਾ ਕਲਾਇੰਟ ਅਧਿਕਾਰ — ਸਭ ਫ਼ੋਨ ਤੋਂ ਮਰੀ ਹੋਈ ਸੁਰੰਗ ਵਾਂਗ ਦਿਸਦੇ ਹਨ, ਅਤੇ ਹਰ ਇੱਕ ਦਾ ਵੱਖਰਾ ਮਾਲਕ ਹੈ। ਪੰਜੇ ਸੈਟਿੰਗਾਂ ਇਕੱਠੀਆਂ ਬਦਲਣ ਨਾਲ ਇਹ ਪੱਕਾ ਹੈ ਕਿ ਤੁਸੀਂ ਨਤੀਜੇ ਤੋਂ ਕੁਝ ਨਹੀਂ ਸਿੱਖੋਗੇ।
ਪੇਸ਼ ਕੀਤੀ ਪਛਾਣ, ਉਮੀਦ ਕੀਤੀ ਪਛਾਣ, ਸਰਟੀਫਿਕੇਟ ਦਾ ਜਾਰੀਕਰਤਾ ਤੇ ਕ੍ਰਮ ਸੰਖਿਆ ਅਤੇ ਸੰਬੰਧਿਤ ਨੀਤੀ ਦਾ ਨਾਮ ਦਰਜ ਕਰੋ, ਅਤੇ ਨਿੱਜੀ ਕੁੰਜੀਆਂ ਤੇ ਪ੍ਰੋਫ਼ਾਈਲ ਭੇਤ ਉਸ ਦਰਜ ਤੋਂ ਬਾਹਰ ਰੱਖੋ। ਪ੍ਰਮਾਣੀਕਰਨ ਸਫਲ ਹੋਣ 'ਤੇ, ਨਿੱਜੀ ਸੇਵਾ ਅਤੇ ਉਸ ਦੇ ਜਵਾਬ ਦੀ ਪਰਖ ਕਰੋ, ਕਿਉਂਕਿ IKE ਤਬਾਦਲਾ ਮੁੱਕਣ ਤੋਂ ਬਾਅਦ ਵੀ ਪਤਾ ਵੰਡ, ਚੋਣਕਰਤਾ, DNS ਅਤੇ ਪਹੁੰਚ ਨੀਤੀ ਕੰਮ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ।