strongSwan EAP: identita IKE verzus očakávané meno AAA

Autentifikácia EAP cez IKEv2 môže od klienta vyžadovať, aby v jednom spojení overil dve rôzne mená serverov. Brána, ktorá ukončuje IKE, predstavuje jednu identitu a backend EAP, ktorý ukončuje vnútornú výmenu TLS, môže predstaviť inú. V strongSwane žijú v rôznych konfiguračných blokoch a meno v nesprávnom bloku spôsobí zlyhanie, ktoré vyzerá ako problém s certifikátom. Práve čítanie toho, ktoré overenie zlyhalo, vám povie, ktorý blok upraviť.

Jedno spojenie, dve identity servera

Prvá identita patrí výmene IKE. Klient vytáča adresu a očakáva, že protistrana preukáže určitú identitu, zvyčajne meno v certifikáte brány.

Druhá patrí EAP. S PEAP alebo TTLS klient stavia tunel TLS k autentifikačnému serveru vnútri IKE SA a tento vnútorný server predstaví vlastný certifikát. Keď je backend samostatný host, jeho meno sa líši od mena brány. Klient, ktorý kontroluje len prvé meno, prijme, čo tvrdí druhé. A klient nastavený s jedným menom na oboch miestach zlyhá, len čo sa obe skutočne rozídu.

Obe mená pochádzajú z konfigurácie operátora, nie z certifikátu, ktorý chybu odstráni. Spýtať sa operátora na podrobnosti nasadenia je rýchlejšie než hádať dve mená hostov.

Ktoré pole patrí ktorej vrstve

V swanctl sú adresa a identita IKE samostatné nastavenia a identita EAP je tretia.

Adresa vzdialenej strany určuje, kam pakety idú, a identita vzdialenej strany hovorí, čo musí protistrana preukázať. Očakávanie EAP sa zapisuje do bloku local, pretože opisuje výmenu EAP tohto klienta, nie správanie IKE protistrany. Práve toto umiestnenie ľudia čítajú nesprávne. Meno stojí v konfigurácii klienta, a pritom opisuje server, a práve preto pôsobí ako na nesprávnom mieste.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Tento úryvok nie je úplné spojenie; materiál dôvery, prihlasovacie údaje a pravidlá podradených spojení ešte musia byť prítomné. Doslovné skopírovanie do funkčného súboru by nahradilo nastavenia, ktoré ešte potrebujete.

Prečo aaa_id žije pod local

Blok local opisuje, čo táto strana robí počas autentifikácie, vrátane metódy, ktorú použije, a identity, ktorú pre túto metódu očakáva od druhej strany. Nič v ňom netvrdí, že server AAA beží na tom istom stroji.

Predvolená hodnota robí pascu ostrejšou. Keď nie je nastavená výslovná hodnota, očakávaná identita AAA nasleduje identitu vzdialenej strany, takže nasadenie s jedným menom funguje a rozdiel skrýva. Výslovná hodnota má význam len vtedy, keď sa nasadenie EAP naozaj končí inde. Nastavenie na iné meno bez tohto dôvodu vytvára zlyhanie, ktoré operátor nedokáže reprodukovať. Prečítajte si nasadenie, skôr než vymyslíte druhé meno.

Udržujte hodnotu zhodnú s tým, čo certifikát backendu skutočne tvrdí, vrátane tvaru mena. Bodka na konci alebo zástupný znak, ktorý hostiteľa nepokrýva, stačí na to, aby kontrola zlyhala.

Frontendy, ktoré rozdelenie nevedia vyjadriť

Profil NetworkManager nie je rovnaké konfiguračné rozhranie ako swanctl. Plugin za ním ponúka užší súbor ovládacích prvkov identity a to, ktoré existujú, závisí od nainštalovanej verzie.

To je dôležité, keď nasadenie naozaj potrebuje dve mená. Pole označené ako identita servera môže nastaviť jednu vrstvu a nie druhú, takže profil môže vyzerať správne a napriek tomu zlyhať vo vnútornej kontrole. Overte, čo nainštalovaný plugin podporuje, skôr než budete predpokladať, že profil toto usporiadanie dokáže vyjadriť. Ak nie, voľba patrí operátorovi: iná cesta zriaďovania alebo opravený návrh identity servera. Oslabenie PEAP alebo prijatie akéhokoľvek mena mení politiku autentifikácie namiesto toho, aby ju opravilo.

Alternatíva nie je niečo, čo by sa malo vymýšľať na klientovi. Vyžiadajte si podporované usporiadanie písomne a potom tento výsledok uchovajte pri profile.

Odlište nesúlad identity od prepadnutého certifikátu

Nesúlad mena a prepadnutý certifikát sú rôzne zlyhania a protokol ich rozlišuje. Prečítajte si správu, skôr než sa rozhodnete, ktoré pole zmeniť.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Nastavenie zamýšľanej identity AAA neobnovuje certifikát ani nevytvára dôveru v jeho vydavateľa a obnovenie certifikátu neopraví nesprávne očakávané meno. Prečítajte si, ktoré overenie zlyhalo, skôr než upravíte ďalšie pole identity. Potom znova načítajte konfiguráciu a potvrďte, že načítané spojenie zobrazuje hodnotu, ktorú ste nastavili, pretože upravený súbor, ktorý sa nikdy nenačítal, nič nemení. Zapíšte obe mená a ich vrstvy do poznámok k nasadeniu.