strongSwan EAP: IKE identitet naspram očekivanog AAA imena

strongSwan EAP klijent može provjeriti dva imena servera. remote.id pokriva IKE pristupnik, a local.aaa_id pokriva EAP server; to nije jedno polje.

EAP autentifikacija preko IKEv2 može od klijenta tražiti da provjeri dva različita imena servera u jednoj vezi. Pristupnik koji završava IKE predstavlja jedan identitet, a EAP pozadinski dio koji završava unutrašnju TLS razmjenu može predstaviti drugi. U strongSwanu oni žive u različitim konfiguracijskim blokovima, a ime u pogrešnom bloku daje kvar koji izgleda kao problem sa certifikatom. Upravo čitanje toga koja provjera nije prošla govori vam koji blok urediti.

Jedna veza, dva identiteta servera

Prvi identitet pripada IKE razmjeni. Klijent bira adresu i očekuje da druga strana dokaže određeni identitet, obično ime iz certifikata pristupnika.

Drugi pripada EAP-u. Uz PEAP ili TTLS klijent gradi TLS tunel do servera za autentifikaciju unutar IKE SA, i taj unutrašnji server predstavlja vlastiti certifikat. Kada je pozadinski dio odvojen host, njegovo ime se razlikuje od imena pristupnika. Klijent koji provjerava samo prvo ime prihvata sve što drugo tvrdi. A klijent konfigurisan s jednim imenom na oba mjesta pada čim se dva stvarno razlikuju.

Oba imena dolaze iz konfiguracije operatera, a ne iz certifikata koji uklanja grešku. Pitati operatera za detalje postavljanja brže je od nagađanja dva imena hostova.

Koje polje pripada kojem sloju

U swanctl-u su adresa i IKE identitet odvojene postavke, a EAP identitet je treći.

Adresa udaljene strane bira kuda paketi idu, a identitet udaljene strane kaže šta druga strana mora dokazati. EAP očekivanje se piše pod blokom local, jer opisuje EAP razmjenu ovog klijenta, a ne IKE ponašanje druge strane. Upravo to mjesto ljudi pogrešno čitaju. Ime stoji u konfiguraciji klijenta dok opisuje server, i zato baš izgleda kao da je na pogrešnom mjestu.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Taj isječak nije potpuna veza; materijal povjerenja, akreditivi i politike podređenih veza još moraju biti prisutni. Doslovno kopiranje u radnu datoteku zamijenilo bi postavke koje su vam još potrebne.

Zašto aaa_id živi pod local

Blok local opisuje šta ovaj kraj radi tokom autentifikacije, uključujući metodu koju će koristiti i identitet koji očekuje od druge strane za tu metodu. Ništa u njemu ne tvrdi da AAA server radi na istom računaru.

Zadana vrijednost čini zamku oštrijom. Kada nije postavljena izričita vrijednost, očekivani AAA identitet slijedi identitet udaljene strane, pa postavljanje s jednim imenom radi i skriva razliku. Izričita vrijednost je bitna samo kada se EAP postavljanje stvarno završava negdje drugdje. Postavljanje na drugo ime bez tog razloga stvara kvar koji operater ne može reproducirati. Pročitajte postavljanje prije nego izmislite drugo ime.

Držite vrijednost identičnom onome što certifikat pozadinskog dijela stvarno tvrdi, uključujući oblik imena. Tačka na kraju ili zamjenski znak koji ne pokriva host dovoljni su da provjera padne.

Sučelja koja ne mogu izraziti podjelu

NetworkManager profil nije isto konfiguracijsko sučelje kao swanctl. Dodatak iza njega izlaže uži skup kontrola identiteta, a koje postoje zavisi od instalirane verzije.

To je važno kada postavljanje stvarno treba dva imena. Polje označeno kao identitet servera može konfigurisati jedan sloj, ali ne drugi, pa profil može izgledati ispravno i ipak pasti na unutrašnjoj provjeri. Provjerite šta instalirani dodatak podržava prije nego pretpostavite da profil može izraziti takav raspored. Ako ne može, izbor je na operateru: drugi put za dodjelu ili ispravljen dizajn identiteta servera. Slabljenje PEAP-a ili prihvatanje bilo kojeg imena mijenja politiku autentifikacije umjesto da je popravi.

Alternativa nije nešto što se izmišlja na klijentu. Zatražite podržani raspored u pisanom obliku, pa čuvajte taj odgovor uz profil.

Razlikujte nepodudaranje identiteta od isteklog certifikata

Nepodudaranje imena i istekao certifikat su različiti kvarovi, a dnevnik ih razlikuje. Pročitajte poruku prije nego odlučite koje polje mijenjati.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Postavljanje namjeravanog AAA identiteta ne obnavlja certifikat niti uspostavlja povjerenje u njegovog izdavaoca, a obnavljanje certifikata ne ispravlja pogrešno očekivano ime. Pročitajte koja provjera nije prošla prije nego uredite još jedno polje identiteta. Zatim ponovo učitajte konfiguraciju i potvrdite da učitana veza pokazuje vrijednost koju ste postavili, jer uređena datoteka koja nikada nije učitana ne mijenja ništa. Zapišite oba imena i njihove slojeve u bilješke o postavljanju.

Povezani članci