په iPhone کې د IKEv2 سند تنظیم: لاسي یا مدیریت شوې ثبت

RSA غوره کول یوازې ځکه چې د دروازې د سند وسیله یې په ډیفالټ ډول کاروي، هغه پرېکړه ده چې د مهمې پوښتنې مخکې کیږي: دا iPhoneونه به څنګه ثبت شي؟ هغه اړیکه چې کاروونکی پخپله ټایپ کوي او هغه ترتیبي پروفایل چې مدیریت یې برابروي بېلابېلې تنظیمات ښیي، او ځینې د سند اختیارونه یوازې په یوه له دې لارو کې شته۔ که ترتیب سم کړئ، د سند پلان لنډ شي؛ که غلطي وکړئ، هغه اعتبارنامه صادروئ چې تلیفون به یې ونه کاروي۔ لاندې ګامونه د یوې لړۍ په توګه وګورئ، ځکه هر یو د بل لپاره شته اختیارونه تنګوي۔

لومړی ګام: د ثبت لاره وټاکئ

لاسي ترتیب مانا دا ده چې کاروونکی د سرور پته داخلوي، د تصدیق طریقه ټاکي او هر هغه اعتبارنامه وړاندې کوي چې انټرفیس یې اجازه ورکوي۔ مدیریت شوې ثبت مانا دا ده چې پروفایل پته، پیژندونکي او د اعتبارنامې پیلوډ ته اشاره لېږي۔ مدیریت شوې لاره هغه ترکیبونه څرګندولی شي چې لاسي سکرین یې نه شي څرګندولی، نو د سند پرېکړه باید دې ټاکنې وروسته راشي، نه مخکې۔

دواړه لارې کولی شي تلیفون تصدیق کړي۔ دوی په دې کې توپیر لري چې څه تنظیمولی شئ او هویت چا لره دی، نو د مدیریت شوي پروفایل او لاسي اعتبارنامې د یوځای کولو پر ځای په قصدي ډول یوه وټاکئ۔

دوهم ګام: د خپل ټاکل شوې لارې لپاره الګوریتمونه وټاکئ

د لاسي ترتیب شوي iPhone لپاره، د strongSwan د iOS د متقابل عمل یادښتونه RSA سرور سند وړاندیز کوي، ځکه لاسي کلاینټ ممکن ECDSA سرور سند ونه مني؛ همدا یادښتونه macOS جلا ګڼي۔ دا د ملاتړ شوي کلاینټ ټولګې لپاره لارښود ولولئ، نه د Apple وسایلو په اړه تلپاتې قانون۔ مدیریت شوي پروفایل ډېر ځای لري: کله چې پیلوډ او دروازه دواړه ملاتړ وکړي، دا کولی شي د سند ډول په څرګند ډول وټاکي، په شمول د ECDSA کلاینټ هویت۔

له هر څه څخه مخکې هغه iOS نسخې تایید کړئ چې تاسو یې واقعاً ملاتړ کوئ۔ په نویو نسخو کې لابراتواري تلیفون هغه فلیټ نه بیانوي چې پخواني وسایل لري، او هغه الګوریتم چې په لابراتوار کې کار کوي ممکن په ساحه کې په تر ټولو زاړه تلیفون کې ناکام شي۔ د نسخو حد له حافظې نه، بلکې د وسایلو له مدیریت څخه واخلئ۔ که فلیټ څو نسخې رانغاړي، لومړی تر ټولو زړه وآزمویئ، ځکه لاسي انټرفیس هلته تر ټولو محدود دی۔

دریم ګام: د پروفایل ساحې د جلا شیانو په توګه ولولئ

څو ورته نومونه لرونکي کیلي بېلابېل شیان بیانوي۔ لیرې پته هغه هوسټ دی چې تلیفون یې زنګ وهي۔ لیرې پیژندونکی هغه IKE هویت دی چې تمه کیږي دروازه یې وړاندې کړي۔ د پیلوډ د سند اشاره کلاینټ اعتبارنامې ته اشاره کوي، او د سند د ډول ساحه هغه ډول ټاکي چې د IKEv2 ماشین تصدیق لپاره کارول کیږي۔ که څه هم کلمې یو بل ته نږدې دي، له دې څخه هیڅ یو د CA د لاسلیک الګوریتم نه دی۔

د Apple د IKEv2 پیلوډ حواله RSA د څرګندو ECDSA ډولونو سره د ډیفالټ سند ډول په توګه لیست کوي، او د صادروونکي نوم کیلي ځانګړو تصدیق تنظیماتو سره تړي۔ دا اړیکې د خپل ټاکل شوې طریقې په حواله کې ولولئ، نه دا چې له یوې فعالې ځای پرځای کې یوه کیلي کاپي کړئ۔

څلورم ګام: د دروازې هویت د هغې د سند سره سم کړئ

د دروازې څرګند نوم وکاروئ، لکه vpn.example.com او د سرور په سند کې سمون لرونکی بدیل موضوعي نوم ځای پرځای کړئ۔ د strongSwan د Apple لارښود د سرور تصدیق لپاره پراخه کیلي کارول هم تمه کوي۔ د RSA یا ECDSA ټاکنه له دې څخه هیڅ نه بدلوي: الګوریتم نشي کولی د نوم ناسمون، ورک EKU یا نیمګړې لړۍ سم کړي۔

د باور د لنگر توزیع د هویت د ادعا کولو څخه جلا دنده ده۔ تلیفون ته د سندونو داسې لړۍ ته اړتیا ده چې تاییدولی شي، او باید د هغه نوم د تمې لپاره تنظیم شي چې تاسو یې واقعاً په سند کې ایښی دی۔

بل پلیټ فارم په بریالیتوب سره نښلول د هغه پلیټ فارم د تایید قواعدو ثبوت دی، نه د تلیفون قواعدو نرمولو اجازه۔ د توپیر لپاره مستند دلیل نه لرئ، نو د کلاینټونو ترمنځ څیړنې یو شان وساتئ۔

پنځم ګام: د کلاینټ هویت د CA له باور څخه جلا کړئ

د کلاینټ سند او د هغې شخصي کیلي هغه شی نه دي چې د CA سند دی چې تلیفون پرې باور لري۔ د CA سند د PKCS#12 هویت دننه بنډل کول هغه په هر ملاتړ شوي وسیله کې په اتوماتیک ډول د باور لنگر نه نصبوي، نو د باور توزیع د خپل تایید سره جلا ګام وګڼئ۔

که ډیزاین پرځای د پټنوم پر بنسټ EAP وکاروي، تلیفون ته اړوند حساب تصدیق او د سرور تایید ته اړتیا ده۔ دا لاره د یوې شریکې کلاینټ شخصي کیلي ټول فلیټ ته لېږلو توجیه نه کوي، کوم چې بل ډیزاین دی او ډېر بد ناکامي حالت لري۔

پلان د نوي کولو او لغوه کولو په پام کې نیولو سره بشپړ کړئ: کلاینټ اعتبارنامه څوک بیا صادروي، پروفایل څنګه نوي کیږي او ورک شوی تلیفون څنګه قطع کیږي۔ هغه پروفایل نسخه او د وسایلو هغه نسخې ثبت کړئ چې تاسو یې پر ضد تایید کړی، ځکه همدا ریکارډ بل د سند بدلون عادي کار کوي۔