strongSwan EAP: IKE අනන්‍යතාවය සහ අපේක්ෂිත AAA නාමය
strongSwan EAP සේවාලාභියාට සේවාදායක නාම දෙකක් තහවුරු කළ හැක. remote.id IKE ද්වාරය ආවරණය කරන අතර local.aaa_id EAP සේවාදායකය ආවරණය කරයි; මේවා එකම ක්ෂේත්‍රයක් නොවේ.
IKEv2 හරහා EAP සත්‍යාපනය සේවාලාභියාගෙන් එක් සම්බන්ධතාවයක් තුළ වෙනස් සේවාදායක නාම දෙකක් තහවුරු කරන ලෙස ඉල්ලා සිටිය හැක. IKE අවසන් කරන ද්වාරය එක් අනන්‍යතාවයක් ඉදිරිපත් කරයි, සහ අභ්‍යන්තර TLS හුවමාරුව අවසන් කරන EAP පසුතලය තවත් එකක් ඉදිරිපත් කළ හැක. strongSwan තුළ මේවා වෙනස් වින්‍යාස කොටස්වල පවතී, සහ වැරදි කොටසේ නාමයක් තැබීම සහතික ගැටලුවක් ලෙස පෙනෙන අසාර්ථකත්වයක් ඇති කරයි. කුමන සත්‍යාපනය අසාර්ථක වූයේ ද යන්න කියවීමම කුමන කොටස සංස්කරණය කළ යුතු ද යන්න පවසයි.
එක් සම්බන්ධතාවයක්, සේවාදායක අනන්‍යතා දෙකක්
පළමු අනන්‍යතාවය IKE හුවමාරුවට අයත් වේ. සේවාලාභියා ලිපිනයක් අමතා ප්‍රතිවාදියා නිශ්චිත අනන්‍යතාවයක්, සාමාන්‍යයෙන් ද්වාර සහතිකයේ නාමය, ඔප්පු කරනු ඇතැයි අපේක්ෂා කරයි.
දෙවැන්න EAP ට අයත් වේ. PEAP හෝ TTLS සමඟ, සේවාලාභියා IKE SA තුළ සත්‍යාපන සේවාදායකයට TLS උමංගයක් ගොඩනඟන අතර, එම අභ්‍යන්තර සේවාදායකය තමන්ගේම සහතිකය ඉදිරිපත් කරයි. පසුතලය වෙනම සත්කාරකයක් වූ විට, එහි නාමය ද්වාරයේ නාමයට වඩා වෙනස් වේ. පළමු නාමය පමණක් පරීක්ෂා කරන සේවාලාභියා දෙවැන්න ප්‍රකාශ කරන සියල්ල පිළිගනී. එමෙන්ම ස්ථාන දෙකේම එකම නාමයක් වින්‍යාස කර ඇති සේවාලාභියා එම දෙක සැබවින්ම වෙනස් වූ විට අසාර්ථක වේ.
නාම දෙකම පැමිණෙන්නේ ක්‍රියාකරුගේ වින්‍යාසයෙන් මිස දෝෂය ඉවත් කරන සහතිකයෙන් නොවේ. ක්‍රියාකරුගෙන් යෙදවීමේ විස්තර ඇසීම සත්කාරක නාම දෙකක් අනුමාන කිරීමට වඩා වේගවත් ය.
කුමන ක්ෂේත්‍රය කුමන ස්තරයට අයත් ද
swanctl තුළ ලිපිනය සහ IKE අනන්‍යතාවය වෙන වෙනම සැකසුම් වන අතර, EAP අනන්‍යතාවය තෙවැන්නයි.
දුරස්ථ ලිපිනය පැකට්ටු යන තැන තෝරන අතර, දුරස්ථ අනන්‍යතාවය ප්‍රතිවාදියා ඔප්පු කළ යුතු දේ පවසයි. EAP අපේක්ෂාව local කොටස යටතේ ලියැවේ, එය ප්‍රතිවාදියාගේ IKE හැසිරීම නොව මෙම සේවාලාභියාගේ EAP හුවමාරුව විස්තර කරන බැවිනි. මහජනයා වැරදි ලෙස කියවන්නේ මෙම ස්ථානගත කිරීමයි. නාමය සේවාදායකයක් විස්තර කරමින් සේවාලාභියාගේ වින්‍යාසයේ පවතින අතර, එබැවින්ම එය වැරදි තැනක ලෙස පෙනේ.
connections {
office {
remote_addrs = vpn.example.com
local {
auth = eap-peap
aaa_id = auth.example.com
}
remote {
auth = pubkey
id = vpn.example.com
}
}
}එම කොටස සම්පූර්ණ සම්බන්ධතාවයක් නොවේ; විශ්වාස ද්‍රව්‍ය, අක්තපත්‍ර සහ දරු සම්බන්ධතා ප්‍රතිපත්ති තවමත් තිබිය යුතුය. එය වචනයෙන් වචනය ක්‍රියාකාරී ගොනුවකට පිටපත් කිරීමෙන් ඔබට තවමත් අවශ්‍ය සැකසුම් ප්‍රතිස්ථාපනය වේ.
aaa_id local යටතේ පවතින්නේ ඇයි
local කොටස සත්‍යාපනය අතරතුර මෙම පැත්ත කරන දේ විස්තර කරයි, එය භාවිතා කරන ක්‍රමය සහ එම ක්‍රමය සඳහා අනෙක් පැත්තෙන් අපේක්ෂා කරන අනන්‍යතාවය ඇතුළුව. එහි AAA සේවාදායකය එකම යන්ත්‍රයේ ධාවනය වන බව කිසිවක් පවසන්නේ නැත.
පෙරනිමි අගය උගුල තියුණු කරයි. පැහැදිලි අගයක් සකසා නොමැති විට, අපේක්ෂිත AAA අනන්‍යතාවය දුරස්ථ අනන්‍යතාවය අනුගමනය කරයි, එබැවින් එක් නාමයක යෙදවීමක් ක්‍රියා කර වෙනස සඟවයි. පැහැදිලි අගයක් වැදගත් වන්නේ EAP යෙදවීම සැබවින්ම වෙනත් තැනක අවසන් වූ විට පමණි. එම හේතුවකින් තොරව එය වෙනත් නාමයකට සැකසීම ක්‍රියාකරුට නැවත නිපදවිය නොහැකි අසාර්ථකත්වයක් ඇති කරයි. දෙවන නාමයක් නිර්මාණය කිරීමට පෙර යෙදවීම කියවන්න.
පසුතල සහතිකය සැබවින්ම ප්‍රකාශ කරන දෙයට, නාමයේ ස්වරූපය ඇතුළුව, අගය සමානව තබා ගන්න. අවසානව තිතක් හෝ සත්කාරකය ආවරණය නොකරන වයිල්ඩ්කාඩ් එකක් පරීක්ෂාව අසාර්ථක වීමට ප්‍රමාණවත් ය.
වෙන්වීම ප්‍රකාශ කළ නොහැකි ඉදිරිපස
NetworkManager පැතිකඩ swanctl හා සමාන වින්‍යාස අතුරුමුහුණතක් නොවේ. එහි පිටුපස ඇති ප්ලගීනය පටු අනන්‍යතා පාලන කට්ටලයක් ලබා දෙන අතර, කවරක් පවතී ද යන්න ස්ථාපිත අනුවාදය මත රඳා පවතී.
යෙදවීමට සැබවින්ම නාම දෙකක් අවශ්‍ය වූ විට මෙය වැදගත් වේ. සේවාදායක අනන්‍යතාවය ලෙස ලේබල් කළ ක්ෂේත්‍රයක් එක් ස්තරයක් වින්‍යාස කළ හැකි නමුත් අනෙක නොකළ හැක, එබැවින් පැතිකඩක් නිවැරදි ලෙස පෙනී අභ්‍යන්තර පරීක්ෂාවේ අසාර්ථක විය හැක. පැතිකඩට මෙම වින්‍යාසය ප්‍රකාශ කළ හැකි යැයි උපකල්පනය කිරීමට පෙර ස්ථාපිත ප්ලගීනය ආධාර කරන දේ පරීක්ෂා කරන්න. නොහැකි නම්, තේරීම ක්‍රියාකරුට අයත් ය: වෙනත් සැපයුම් මාර්ගයක්, නැතහොත් නිවැරදි කළ සේවාදායක අනන්‍යතා නිර්මාණයක්. PEAP දුර්වල කිරීම හෝ ඕනෑම නාමයක් පිළිගැනීම සත්‍යාපන ප්‍රතිපත්තිය නිවැරදි කිරීම වෙනුවට වෙනස් කරයි.
විකල්පය සේවාලාභියා මත නිර්මාණය කළ යුතු දෙයක් නොවේ. ආධාරක වින්‍යාසය ලිඛිතව ඉල්ලා, පසුව එම පිළිතුර පැතිකඩ සමඟ තබා ගන්න.
අනන්‍යතා නොගැළපීම කල් ඉකුත් වූ සහතිකයකින් වෙන්කර හඳුනා ගන්න
නාම නොගැළපීම සහ කල් ඉකුත් වූ සහතිකය වෙනස් අසාර්ථකතා වන අතර, ලොගය ඒවා වෙන්කර දක්වයි. කුමන ක්ෂේත්‍රය වෙනස් කළ යුතු ද යන්න තීරණය කිරීමට පෙර පණිවිඩය කියවන්න.
swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pagerඅභිප්‍රේත AAA අනන්‍යතාවය සැකසීම සහතිකයක් අලුත් නොකරයි හෝ එහි නිකුත් කරන්නා කෙරෙහි විශ්වාසය නොතැබේ, සහ සහතිකයක් අලුත් කිරීම වැරදි අපේක්ෂිත නාමය නිවැරදි නොකරයි. තවත් අනන්‍යතා ක්ෂේත්‍රයක් සංස්කරණය කිරීමට පෙර කුමන සත්‍යාපනය අසාර්ථක වූයේ ද කියවන්න. ඉන්පසු වින්‍යාසය නැවත පූරණය කර පූරණය කළ සම්බන්ධතාවය ඔබ සකසා ඇති අගය පෙන්වන බව තහවුරු කරන්න, මන්ද කිසිදා පූරණය නොකළ සංස්කරණය කළ ගොනුවක් කිසිවක් වෙනස් නොකරයි. නාම දෙකම සහ ඒවායේ ස්තර යෙදවීමේ සටහන්වල ලියන්න.