Identitate IKE sau adresă de endpoint: nu le confunda

Citește un câmp etichetat ca identitate FQDN ca pe un șir literal, nu ca pe o cerere pentru numele DNS invers al adresei tale publice. În parserul strongSwan este exact asta, un șir, iar citirea nu îl rezolvă niciodată într-un endpoint. Acest fapt singur înlătură cea mai frecventă distragere când alegi identificatori pentru un peer. Verificările de mai jos împiedică cele trei valori implicate să se contopească într-una singură.

O etichetă nu este o căutare

Interfețele furnizorilor folosesc cuvinte precum FQDN și hostname lejer, iar eticheta de pe o cutie nu spune nimic despre codificarea din spate. Un echipament care numește un câmp Client FQDN poate trimite un FQDN, un șir în formă de e-mail sau o adresă goală. Tratează textul și tipul ca două decizii separate și înregistrează-le pe amândouă.

Nimic dintr-o identitate literală nu necesită DNS. Este o afirmație pe care cealaltă parte o verifică, nu un nume pe care rețeaua trebuie să îl rezolve.

Trei valori separate, scrise separat

Trei sarcini stau în spatele unui singur ecran de configurare, iar contopirea lor este greșeala scumpă. O valoare este adresa endpointului, care decide unde merg pachetele. Alta este identitatea locală pe care o prezintă acest peer, iar a treia este identitatea pe care o aștepți de la capătul îndepărtat înainte de a-l autentifica. Scrie-le ca trei rânduri în tichetul de modificare, pentru că orice mai puțin descrie un VPN și nu o relație.

Identitățile exemplu trebuie alese și autorizate ca parte a implementării. Sunt afirmații pe care autentificarea le verifică, nu acreditări care să facă orice peer de încredere, așa că un șir care pare plauzibil nu autorizează nimic.

Tipul face parte din valoare

referința de identități a strongSwan separă FQDN, valori în formă de e-mail, adrese IP și alte codificări, deci codificarea contează la fel de mult ca caracterele. Două dispozitive pot accepta același text sub tipuri diferite și totuși să se respingă reciproc. O notă care înregistrează valoarea fără tipul ei este jumătate de configurare.

Întreabă furnizorul ce tip trimite de fapt echipamentul și confirmă cu o decodare, nu cu eticheta interfeței. Un tip ghicit este o nepotrivire care așteaptă următoarea modificare.

Fiecare parte trebuie să o satisfacă pe cealaltă

Identitatea locală a fiecărei părți trebuie să treacă de politica de autentificare a celeilalte părți. Asta nu este același lucru cu a lipi un singur șir în fiecare casetă de identitate de pe ambele dispozitive, care este scurtătura ce produce o configurație pe care nimeni nu o poate depana.

Autentificarea cu certificat adaugă cerințe proprii, pentru că identitatea certificatului și condițiile de încredere stau lângă identitatea IKE pe care ai tastat-o. O potrivire a identității IKE singură nu autorizează un peer cu certificat.

Unde contează DNS și ce impune versiunea ta

Un hostname de gateway folosit pentru descoperire chiar are nevoie de DNS funcțional, iar acea cerință ține de găsirea endpointului, nu de vreo căutare inversă a unei identități tastate. Ține-le separate în tichet, pentru că o eroare de descoperire și o nepotrivire de identitate se citesc similar într-un log de client și se repară în locuri diferite.

Citește parserul pentru produsul și versiunea pe care le rulezi de fapt înainte de a copia sintaxă care impune un tip, deoarece versiunile mai vechi de strongSwan se comportau diferit, iar alți furnizori adaugă constrângeri proprii. Când compari cele două capete, ține patru lucruri împreună: identitatea așteptată, identitatea prezentată, tipul și eroarea de autentificare. Acest set transformă o nepotrivire în dovadă, nu în opinie.