Идентификатор IKE или адрес конечной точки: не путайте их
Идентификатор IKE типа FQDN — это буквальное значение аутентификации, а не обратный запрос DNS. Держите отдельно адрес конечной точки, локальный идентификатор и ожидаемого peer.
Читайте поле с меткой «идентификатор FQDN» как буквальную строку, а не как запрос обратного DNS-имени вашего публичного адреса. В парсере strongSwan это ровно так, строка, и чтение никогда не превращает её в конечную точку. Уже этот факт убирает самое частое отвлечение при выборе идентификаторов для peer. Проверки ниже не дают трём задействованным значениям слиться в одно.
Метка — это не поиск
Интерфейсы поставщиков свободно используют слова вроде FQDN и hostname, а метка на коробке ничего не говорит о кодировке за ней. Устройство, называющее поле Client FQDN, может отправить FQDN, строку в форме электронной почты или голый адрес. Относитесь к тексту и типу как к двум отдельным решениям и фиксируйте оба.
Ничто в буквальном идентификаторе не требует DNS. Это утверждение, которое проверяет другая сторона, а не имя, которое должна разрешить сеть.
Три отдельных значения, записанных отдельно
За одним экраном конфигурации стоят три задачи, и их слияние — дорогая ошибка. Одно значение — адрес конечной точки, который решает, куда идут пакеты. Другое — локальный идентификатор, который предъявляет этот peer, а третье — идентификатор, который вы ожидаете от удалённой стороны, прежде чем её аутентифицировать. Запишите их тремя строками в тикете изменения, потому что всё меньшее описывает VPN, а не отношения.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Примерные идентификаторы нужно выбирать и авторизовать как часть развёртывания. Это утверждения, которые проверяет аутентификация, а не учётные данные, делающие любой peer доверенным, поэтому правдоподобная строка ничего не авторизует.
Тип — часть значения
справочник идентификаторов strongSwan разделяет FQDN, значения в форме электронной почты, IP-адреса и другие кодировки, поэтому кодировка важна так же, как символы. Два устройства могут принять один и тот же текст под разными типами и всё равно отказать друг другу. Заметка, фиксирующая значение без его типа, — половина конфигурации.
Спросите поставщика, какой тип устройство действительно отправляет, и подтвердите это декодированием, а не меткой интерфейса. Угаданный тип — это несоответствие, ждущее следующего изменения.
Каждая сторона должна удовлетворить другую
Локальный идентификатор каждой стороны должен пройти политику аутентификации другой стороны. Это не то же самое, что вставить одну строку в каждое поле идентификатора на обоих устройствах, — такая короткая дорога даёт конфигурацию, которую никто не сможет отладить.
Аутентификация по сертификату добавляет свои требования, потому что идентификатор сертификата и условия доверия стоят рядом с введённым вами идентификатором IKE. Одно совпадение идентификатора IKE не авторизует peer с сертификатом.
Где важен DNS и что навязывает ваша версия
Имя хоста шлюза, используемое для обнаружения, действительно требует работающего DNS, и это требование относится к поиску конечной точки, а не к какому-либо обратному запросу введённого идентификатора. Держите эти две вещи в тикете отдельно, потому что сбой обнаружения и несоответствие идентификатора читаются в журнале клиента похоже, а исправляются в разных местах.
Прочитайте парсер того продукта и той версии, которые вы действительно запускаете, прежде чем копировать синтаксис, навязывающий тип, поскольку старые выпуски strongSwan вели себя иначе, а другие поставщики добавляют свои ограничения. Сравнивая два конца, держите вместе четыре вещи: ожидаемый идентификатор, предъявленный идентификатор, тип и ошибку аутентификации. Этот набор превращает несоответствие в доказательство, а не в мнение.