iPhone IKEv2 සිට RouterOS දක්වා: කුමන හැඳුනුම කොහේ යයිද
iOS හි IKEv2 උමං එක වෙන වෙනම ප්‍රකාශ හතරක් තීරණය කරයි: අමතන ලිපිනය, අපේක්ෂිත සේවාදායක අනන්‍යතාව, ප්‍රකාශිත සේවාලාභී අනන්‍යතාව සහ සහතික ද්‍රව්‍ය.
MikroTik ගේට්වේ එකට ළඟා වීම IKEv2 යෙදවීමේ ප්‍රවාහන අර්ධය පමණක් විසඳයි, තවත් කිසිවක් නොවේ. ඉන්පසු වෙන වෙනම ප්‍රකාශ හතරක් උමං එක සෑදෙනවාද නැද්ද යන්න තීරණය කරයි: දුරකථනය අමතන ලිපිනය, එය අපේක්ෂා කරන සේවාදායක අනන්‍යතාව, එය තමන් වෙනුවෙන් ප්‍රකාශ කරන අනන්‍යතාව, සහ එම ප්‍රකාශයට අනුබල දෙන සහතික ද්‍රව්‍ය. ඒවා එම අනුපිළිවෙලින්ම පරීක්ෂා කරන්න, සහ ගේට්වේ ඉදිරිපත් කරන දෙයට නොගැළපෙන පළමු එකේදී නවතින්න. එක් එකක් වෙනස් තැනක සංස්කරණය වේ, එබැවින් වැරදි සංස්කරණයක් සාමාන්‍යයෙන් දෝෂය නිවැරදි කරනවාට වඩා ස්ථානගත කරයි.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
විනිමය භාවිතා කරන අනුපිළිවෙලින්ම පැතිකඩ ක්ෂේත්‍ර පරීක්ෂා කරන්න
දුරස්ථ ලිපිනය පළමු IKE පැකට්ටුවේ ගමනාන්තය වන අතර ඊට වඩා කිසිවක් නොවේ. දුරස්ථ හැඳුනුම්කාරකය යනු දුරකථනය ගේට්වේ තමන් බව ඔප්පු කරනු ඇතැයි අපේක්ෂා කරන දෙයයි, එය නමක් මිස මාර්ගයක් නොවේ. දෙකම එකම සත්කාරක නාමයෙන් පිරවීම ගේට්වේ සහතිකයේ එම නාමය ඇති විට ක්‍රියා කරයි, නොමැති විට මාර්ගගත කිරීමේ ගැටලුවක් ලෙස පෙනෙන ආකාරයෙන් අසාර්ථක වේ. පැතිකඩ පිරවිය යුතු ක්ෂේත්‍ර ලැයිස්තුවක් ලෙස නොව, ප්‍රකාශ අනුපිළිවෙලක් ලෙස කියවන්න.
දේශීය හැඳුනුම්කාරකය දුරකථනයේම ප්‍රකාශය වන අතර, දුරකථනය ඉදිරිපත් කරන සේවාලාභී සහතිකය සඳහා RouterOS හැඳුනුම් පිවිසුම පිළිගන්නා නාමයක් විය යුතුය. දෙක නොගැළපේ නම්, සහතිකයම සත්‍යාපනය වූ පසු ගේට්වේ සම්බන්ධතාවය ප්‍රතික්ෂේප කරයි, සහ ලඝු-සටහන නාමකරණයේ නොව අවසරයේ ගැටලුවක් ලෙස පෙනේ.
හැඳුනුම්කාරක ගේට්වේ ඉදිරිපත් කරන දෙයට එරෙහිව පරීක්ෂා කරන්න
සහතික සත්‍යාපනය සඳහා වින්‍යාස කරන ලද RouterOS සමක පිවිසුම තමන්ගේම සහතිකය ඉදිරිපත් කරයි, සහ වෙනත් ආකාරයකින් වින්‍යාස නොකළේ නම් එහි අනන්‍යතාව එම සහතිකයෙන්ම ගනු ලැබේ. දුරකථනයේ දුරස්ථ හැඳුනුම්කාරකය ගේට්වේයේ DNS නාමය නම් කරන්නේ නම්, ගේට්වේයේ සහතිකයට එම නාමය දුරකථනය පිළිගන්නා තැනක, සාමාන්‍යයෙන් විෂයයේ විකල්ප නාමයේ අවශ්‍ය වේ. වෙනත් පොදු නාමයක් සඳහා නිකුත් කළ සහතිකය යතුර සහ දාමය පරිපූර්ණ වුවත් සත්‍යාපනය නොවේ.
කළමනාකරණය කළ Apple පැතිකඩ හැඳුනුම්කාරක ක්ෂේත්‍රවලට අමතරව ඇගයෙන සහතික-නාම සීමාවක් ද දැරිය හැකිය. සැකසීම් තිරය පෙන්වන දෙයින් සත්‍යාපන නාමය අනුමාන නොකර උපකරණය පරීක්ෂා කරන්න, මන්ද දෙක එකම සැකසීම නොවේ.
සේවාලාභී සහතිකය යතුරක් මිස විශ්වාස ආධාරකයක් පමණක් නොවන බව පරීක්ෂා කරන්න
CA සහතිකයක් ආයාත කිරීම දුරකථනයට ගේට්වේ සත්‍යාපනය කිරීමට යමක් ලබා දෙයි. එය දුරකථනයට සේවාලාභී අනන්‍යතාවක් ලබා නොදෙන අතර, සහතික සත්‍යාපනයට සේවාලාභී පත්‍රිකා සහතිකය සහ එහි පුද්ගලික යතුර අනුමත ලියාපදිංචි මාර්ගයෙන් එකට ගෙනැවිත් දිය යුතුය. පුද්ගලික යතුර නොමැතිව ගොඩනගන ලද PKCS#12 පිරිසිදුව ස්ථාපනය වන නමුත් කිසිවක් සත්‍යාපනය නොකරන පැතිකඩක් නිපදවයි.
සේවාලාභී පත්‍රිකාවට RouterOS පැත්ත අපේක්ෂා කරන අනන්‍යතාවක් ද අවශ්‍ය වේ, එනම් විෂයය හෝ විෂයයේ විකල්ප නාමය අදාළ අනන්‍යතා වින්‍යාසය සමඟ ගැළපිය යුතුය. එක් CA එකකින් සේවාලාභී සහ සේවාදායක සහතික නිකුත් කිරීම දාමය පහසු කරන අතර පත්‍රිකා දෙක එකිනෙකට හුවමාරු කළ හැකි ලෙස නොකරයි.
RouterOS ප්‍රතිපත්තිය එම නාමය පිළිගන්නවාදැයි පරීක්ෂා කරන්න
ගේට්වේයේදී සමක පිවිසුම විනිමය ක්‍රමය සහ සත්‍යාපන ක්‍රමය නියම කරයි, අනන්‍යතා පිවිසුම පිළිගත් දුරස්ථ අනන්‍යතාව සහතිකයකට සහ ඉන් පසු ප්‍රතිපත්තියට බැඳ තබයි. RouterOS v7 හි මෙම යුගලය IPsec සමක සහ අනන්‍යතා පිවිසුම් මගින් ප්‍රකාශ වේ, උදාහරණයක් ලෙස auth-method=digital-signature සහිත IKEv2 සමක. පැරණි එකක් සඳහා ලියූ මාර්ගෝපදේශයක් නොව, ඔබ ස්ථාපනය කළ නිකුතුවේ සැබෑ මෙනු අන්තර්ගතය පරීක්ෂා කරන්න.
නොගැළපීම වඩාත් ලාභදායී ලෙස නිවැරදි කළ හැක්කේ මෙහිය, මන්ද ගේට්වේට ලැබුණු සහ අවශ්‍ය වූ අනන්‍යතාව යන දෙකම ඔබට කිය හැකිය. දෝෂය නිහඬ කිරීමට පිළිගත් අනන්‍යතාව පුළුල් කිරීම යෙදවීමට අර්ථය දුන් බැඳීම ඉවත් කරයි.
කිසිවක් සංස්කරණය කිරීමට පෙර කුමන අදියර අසාර්ථක වූයේදැයි පරීක්ෂා කරන්න
කෙළවර දෙකෙහිම උත්සාහය කියවා යෝජනාවක් වෙනස් කිරීමට පෙර එය වර්ගීකරණය කරන්න. යෝජනාවේ නොගැළපීම, නැතිවූ අත්සන් යතුර, විශ්වාස නොකළ නිකුත් කරන්නා, වැරදි සමක හැඳුනුම්කාරකය සහ ප්‍රතික්ෂේප කළ සේවාලාභී අවසරය — සියල්ල දුරකථනයේ සිට මියගිය උමං එකක් ලෙස පෙනේ, සහ එක් එකකට වෙනස් හිමිකරුවෙකි. සැකසීම් පහම එකවර වෙනස් කිරීම ප්‍රතිඵලයෙන් ඔබ කිසිවක් නොඉගෙන ගන්නා බව සහතික කරයි.
ඉදිරිපත් කළ අනන්‍යතාව, අපේක්ෂිත අනන්‍යතාව, සහතිකයේ නිකුත් කරන්නා සහ අනුක්‍රමික අංකය සහ අදාළ ප්‍රතිපත්තියේ නාමය සටහන් කරන්න, පුද්ගලික යතුරු සහ පැතිකඩ රහස් එම සටහනින් පිටත තබන්න. සත්‍යාපනය සාර්ථක වූ පසු, පෞද්ගලික සේවාවක් සහ එහි ප්‍රතිචාරය පරීක්ෂා කරන්න, මන්ද IKE විනිමය අවසන් වූ පසුවත් ලිපින වෙන් කිරීම, තේරීම්කරුවන්, DNS සහ ප්‍රවේශ ප්‍රතිපත්තිය ක්‍රියා කළ යුතුය.