එක් IKEv2 පිවිසුමක හැඳුනුම් දෙකක්: පළමුව යන්ත්‍රය, පසුව පරිශීලකයා
දෙවන IKEv2 වටයට දෙපිරිසගේම එකඟතාව අවශ්‍යයි. ඔබ සිටින අන්ත ලක්ෂ්‍යයෙන් local සහ remote කියවා, පසුව ඔබ කිසිදා අවසර දීමට නොසිතූ යුගල පරීක්ෂා කරන්න.
පාරිභෝගික සහතිකයක් වලංගු කරනු ලැබේ, පළමු හුවමාරුව සම්පූර්ණ වේ, පසුව අමතර සත්‍යාපන වටයක් ගැන දෝෂයකින් සම්බන්ධතාව නතර වේ. සහතික දාමයේ කිසිවක් වැරදි නැති අතර ජාලයේ කිසිවක් වෙනස් වී නැත. දොරටුව සම්බන්ධ වන පැත්තෙන් දෙවන සාක්ෂියක් ඉල්ලා සිටීමට වින්‍යාස කර ඇත, පාරිභෝගිකයා එය කිසිදා යවන්නේ නැත. කවුරුන් කුමක් සහ කුමන අනුපිළිවෙලකට සනාථ කරන්නේද යන්න තීරණය කිරීම මුළු කාර්යයයි, එය ඔබ සිටින අන්ත ලක්ෂ්‍යයෙන් ප්‍රතිපත්තිය කියවීමෙන් ආරම්භ වේ. විවිධ වර්ගවල සාක්ෂි දෙකක් ස්ථිර අනුපිළිවෙලකට තැබීම සැලසුම් තීරණයක් මිස සලකුණු කොටුවක් නොවේ.
රෝග ලක්ෂණය: සාර්ථක පළමු සාක්ෂියට පසු අසාර්ථකත්වය
පළමු හුවමාරුව සම්පූර්ණ වන අතර ලොගය නිරෝගී ලෙස පෙනේ, දොරටුව EAP හරහා පරිශීලක හැඳුනුමක් ඉල්ලන තෙක්. එවිට අත්වැල් ගැසීම නතර වේ හෝ අමතර වටය නම් කරන ප්‍රොටොකෝල දෝෂයක් ආපසු එයි. සම්පූර්ණයෙන් වලංගු යන්ත්‍ර සහතිකයක් එහි වලංගුභාවයට කිසිදු සම්බන්ධයක් නැති හේතුවක් නිසා ප්‍රතික්ෂේප වේ. ප්‍රතිපත්තිය දෙවන සාක්ෂියක් ඉල්ලා තිබූ අතර පාරිභෝගිකයාගේ පිළිතුර කිසිදා නොපැමිණියේය.
එම අසාර්ථකත්වයේ විස්තර දෙකම ඔබ සිටින තැන අනුව නිවැරදිය. පාරිභෝගිකයාගේ පැත්තෙන් එය වලංගු සහතිකයක් ප්‍රතික්ෂේප කරන සේවාදායකයක් ලෙස පෙනේ, සේවාදායකයාගේ පැත්තෙන් පිවිසුම සම්පූර්ණ කළ නොහැකි පාරිභෝගිකයකු ලෙස පෙනේ. එකම සිදුවීම එක් ලොගයක විශ්වාස ගැටලුවක් ලෙසද අනෙකෙහි හැකියාවේ ගැටලුවක් ලෙසද කියවේ. කුමක්ද යන්න කියන්නේ වින්‍යාස කළ ප්‍රතිපත්තිය පමණි.
දිගුව එකතු කරන දේ සහ නොකරන දේ
IKEv2 එක් සැසියක් තුළ එකකට වඩා සත්‍යාපන හුවමාරුවක් ක්‍රියාත්මක කිරීමට දිගුවක් රැගෙන යයි. RFC 4739 වෙනත් අනුපිළිවෙලවල් සමඟම, සහතික හැඳුනුමක් සනාථ කර පසුව EAP හරහා පුද්ගලයකු සත්‍යාපනය කරන පාරිභෝගිකයකු ගෙනහැර දක්වයි. ලේඛනය Experimental තත්ත්වයේ ඇත, එනම් කිසිදු ක්‍රියාත්මක කිරීමක් ඔබට මෙම විශේෂාංගය ලබා දීමට බැඳී නැත. අනෙක් පැත්ත එය ගැන සාකච්ඡා කරන තෙක් සහාය ගැන කිසිවක් උපකල්පනය නොකරන්න.
දෙපැත්තම දිගුවට සහාය දිය යුතු අතර හුවමාරුව අතරතුර එයට එකඟ විය යුතුය. දෙවන වටයට වින්‍යාස කළ දොරටුවකට පාරිභෝගිකයකු එය කිරීමට බල කළ නොහැක, එයට සහාය දෙන පාරිභෝගිකයා සේවාදායකයා ඉල්ලා නොසිටියහොත් එය භාවිත නොකරයි. මෙම අසමමිතිය නිසාම අසාර්ථකත්වය සාමාන්‍යයෙන් හැකියාව ගැන පැහැදිලි ප්‍රකාශයක් වෙනුවට කාල ඉකුත්වීමක් හෝ ප්‍රොටොකෝල දෝෂයක් ලෙස දිස්වේ. එක් පැත්තක වින්‍යාසය කියවීමෙන් සිදුවන්නේ කුමක්ද යන්නෙන් අඩක් පමණක් කියයි.
එක් අන්ත ලක්ෂ්‍යයකට එක් සාක්ෂියක් සාමාන්‍ය ස්වරූපය වන අතර මෙය එම සැලසුම නොවේ. දොරටුව තම සහතිකය ඉදිරිපත් කරයි, පරිශීලකයා EAP හරහා පිළිතුරු දෙයි, සෑම පැත්තක්ම අනෙක් පැත්ත හරියටම එක් වරක් සත්‍යාපනය කර ඇත. එම සාක්ෂි දෙක ප්‍රතිවිරුද්ධ කෙළවරවලින් පැමිණෙන බැවින් කිසිවක් යන්ත්‍රය සහ එය භාවිත කරන පුද්ගලයා ගැන වෙන වෙනම කිසිවක් නොකියයි.
EAP-TLS තුන්වන ස්වරූපය වන අතර එයද මෙය නොවේ. එහිදී පාරිභෝගික සහතිකයක් EAP ක්‍රමයක් තුළ ඉදිරිපත් කරනු ලැබේ, එබැවින් පාරිභෝගිකයා තවමත් එක් IKE සත්‍යාපනයක් සම්පූර්ණ කරයි. අක්තපත්‍ර බහු-වට සිද්ධියට සමාන ලෙස පෙනිය හැකි අතර ප්‍රොටොකෝලය දෙකක් වෙනුවට එක් වටයක් රැගෙන යයි. එබැවින් EAP-TLS ස්ථාපනයකින් පිටපත් කළ සැලසුමක් දෙවන සාක්ෂිය අපේක්ෂා කරන තැනම අසාර්ථක වේ.
එම ගොනුව දොරටුවේ වෙනස් ලෙස කියවේ
එම swanctl ගොනුව කොහේ ක්‍රියාත්මක වේද යන්න අනුව වෙනස් ලෙස කියවේ, එයම මිනිසුන් පැකිළවෙන කොටසයි. ලැප්ටොප් පරිගණකයේ දොරටුව අනෙක් පැත්ත වන අතර දොරටුවේ ලැප්ටොප් පරිගණකය අනෙක් පැත්ත වේ, එබැවින් local පැත්ත මම කවුද ලෙසද remote පැත්ත මම කාව පිළිගන්නේද ලෙසද ලියන්න. local කොටස මෙම අන්ත ලක්ෂ්‍යය තමා සත්‍යාපනය කරන ආකාරය විස්තර කරයි, remote කොටස අනෙක් කෙළවරින් ඉල්ලා සිටින දේ ප්‍රකාශ කරයි. ගොනු දෙක අතර කොටසක් පිටපත් කිරීම එක් අකුරක්වත් නොවෙනස්ව එහි අර්ථය පෙරළා දමයි. ගොනු දෙක සංසන්දනය කිරීම පාහේ කිසිවක් නොකියයි, මන්ද එකම වචන එක් එක් ගොනුවේ ප්‍රතිවිරුද්ධ අර්ථ දක්වයි.
කොටසක පිහිටීම එහි අනුපිළිවෙල තීරණය කරයි, වට අංකයක් එය ඉක්මවා නොගියහොත්. එබැවින් අමතර local හෝ remote කොටස් විකල්ප නොව අමතර වට විස්තර කරයි, swanctl.conf යොමුව හි ඇති පැහැදිලි වට අංකය එම අනුපිළිවෙල හිතාමතා කිරීම සඳහාම වේ. එය නොමැතිව කොටසක් ගෙන යාම හැසිරීම වෙනස් කරයි. එබැවින් කඩදාසියේ සමාන ලෙස පෙනෙන වින්‍යාස දෙකක් ප්‍රතිවිරුද්ධ අනුපිළිවෙලින් හැසිරිය හැකිය.
එම අනුපිළිවෙල රීතිය මතක තබා ගැනීමට වටිනා අසාර්ථකත්ව ක්‍රමයක් ඇති කරයි. දෙවන remote කොටස තවත් පිළිගත හැකි විකල්පයක් නොවේ, එය දෙවන ඉල්ලීමකි, එබැවින් හෝ/හෝ ලෙස කියවන ප්‍රතිපත්තියක් සහ-පසුව ලෙස හැසිරේ. දොරටු ප්‍රතිපත්තියකට ලියාපදිංචි යන්ත්‍රයේ සහතිකය පිළිගෙන පසුව එම පරිශීලකයාගේ EAP හුවමාරුව එම අනුපිළිවෙලින්ම ඉල්ලා සිටිය හැකිය.
වට ස්වාධීන සාධකවලින් වෙන් කරන්න
වට දෙකක් ස්වයංක්‍රීයව ස්වාධීන සාධක දෙකක් නොවේ. සාක්ෂියක් නැවත කිරීම හෝ එකම ගබඩාවක අක්තපත්‍ර දෙකක් තබා ගැනීම සැලසුම එකතු කළ යුතු ශක්තිය ලබා නොදේ. ස්වාධීනත්වය යනු රහස් තබා ගන්නා ආකාරය සහ ඒවා අවදානමට ලක් කරන දේ පිළිබඳ ගුණාංගයක් මිස ප්‍රොටොකෝලය කොපමණ හුවමාරු සිදු කරයිද යන්න නොවේ. වට සාධක ලෙස ගණන් කරන සැලසුමක් තමා සතු දේ අධි තක්සේරු කරයි. මෙම වෙනස වැදගත්ම වන්නේ අනුකූලතා ප්‍රශ්නයක් පිවිසුම ඇත්තෙන්ම කොපමණ සාධක භාවිත කරයිද යන්න අසන විටය.
යන්ත්‍ර සහතිකයක් තම පිළිගත් යතුරට හිමිකම සනාථ කරයි, ඊට වැඩි කිසිවක් නොවේ. එය දෘඩාංග සාක්ෂ්‍යකරණයක් හෝ උපාංග සෞඛ්‍ය වාර්තාවක් නොවේ, එබැවින් තත්ත්ව තොරතුරු අවශ්‍ය ප්‍රතිපත්තියකට වෙනත් යාන්ත්‍රණයක් අවශ්‍යයි. subject ක්ෂේත්‍රයද විශ්වාස කළ හැකි ඉන්වෙන්ටරි ටැගයක් නොවේ, මන්ද subject තෝරන්නේ සහතිකය නිකුත් කළ හෝ ලියාපදිංචි කළ අයයි. සැලසුමට යන්ත්‍රය නිරෝගී බවට සාක්ෂියක් අවශ්‍ය නම් එම සාක්ෂිය යන්ත්‍රය මනින සංරචකයකින් පැමිණිය යුතුය.
එක් එක් වටය ඇත්තෙන්ම සනාථ කරන දේ එය එකතු කිරීමට පෙර ලියන්න. වට දෙකක් එකම දේ දෙවරක් සනාථ කරන විට දෙවැන්න තහවුරුව වෙනුවට ප්‍රමාදය සහ සහාය ටිකට් එකතු කරයි. එම සටහනම අමතර වටය එහි පිරිවැයට සුදුසුද යන තර්කය නවත්වයි.
යුගල රීතිය ලියා ප්‍රතික්ෂේප පරීක්ෂා කරන්න
කුමන යන්ත්‍ර හැඳුනුම් කුමන පුද්ගලයන් සමඟ යුගල විය හැකිද යන්න තීරණය කර, රීතිය බලාත්මක කිරීම ජීවත් වන තැන ලියන්න. පැත්තෙන් පැත්තට තබා ඇති වලංගු අක්තපත්‍ර දෙකක් යුගලය ගැන කිසිවක් සනාථ නොකරයි, මන්ද යුගල වීම සත්‍යාපන ප්‍රතිඵලයක් නොව අවසර දීමේ තීරණයකි. ලියාපදිංචි වාර්තා හෝ සත්‍යාපන පසුතලය සංවිධානයට අවශ්‍ය සම්බන්ධය බලාත්මක කළ යුතුය.
පසුව අසාර්ථක විය යුතු දේ පරීක්ෂා කරන්න: අනුමත නොකළ යන්ත්‍රයක පිළිගත් පරිශීලකයා, යන්ත්‍රයේ අක්තපත්‍ර දරන අනුමත නොකළ පරිශීලකයා, සහ අමතර වටය කළ නොහැකි අනෙක් පැත්ත. තිදෙනාම නිහඬව එකම ප්‍රවේශය ලබා ගන්නේ නම් ප්‍රතිපත්තිය බලාත්මක කරනවා වෙනුවට අභිප්‍රායක් විස්තර කරයි. ප්‍රකාශිත වින්‍යාසය ඩීමන් වාර්තා කරන දෙය සමඟ සංසන්දනය කරන්න, මන්ද කිසිදා නොගැලපුණු සම්බන්ධතාවක් සමත් වූ රීතියක් ලෙසම පෙනේ:
swanctl --list-conns
swanctl --list-sasසාර්ථක පිවිසුම පමණක් නොව, සාකච්ඡා කළ වට සහ ඉන් ලැබෙන අවසරයද පරීක්ෂා කරන්න. කෙටි මාර්ගයක් ලෙස පැරණි IKEv1 XAuth සැකසුම් වෙත නොයන්න: සම්බන්ධතාව සාර්ථක වන තෙක් අවශ්‍ය වටයක් මකා දැමීම වෙනුවට ප්‍රොටොකෝලය, භූමිකා, අනුපිළිවෙල සහ පාරිභෝගිකයාගේ සැබෑ හැසිරීම ගැලපෙන්න. අසාර්ථක වන වටය මකා දැමීම යනු දෙසාක්ෂි සැලසුමක් කිසිවෙක් සමාලෝචනය නොකළ එක්සාක්ෂි සැලසුමක් බවට නිහඬව පත්වන මාර්ගයයි. මකා දැමීම වෙනස්කම් වාර්තාවේ තබන්න.