Identiteta IKE ali naslov končne točke: ne zamenjujte ju
Identiteta IKE vrste FQDN je dobesedna vrednost preverjanja pristnosti, ne povratno iskanje DNS. Naslov končne točke, lokalno identiteto in pričakovanega peerja hranite ločeno.
Polje z oznako identiteta FQDN berite kot dobesedni niz, ne kot zahtevo za povratno ime DNS vašega javnega naslova. V razčlenjevalniku strongSwan je točno to, niz, in branje ga nikoli ne razreši v končno točko. Že to dejstvo odpravi najpogostejšo motnjo, ko izbirate identifikatorje za peera. Spodnja preverjanja preprečujejo, da bi se tri vključene vrednosti zlile v eno.
Oznaka ni iskanje
Vmesniki ponudnikov uporabljajo besede, kot sta FQDN in hostname, ohlapno, oznaka na škatli pa ne pove ničesar o kodiranju za njo. Naprava, ki polje imenuje Client FQDN, lahko pošlje FQDN, niz v obliki e-pošte ali goli naslov. Besedilo in vrsto obravnavajte kot dve ločeni odločitvi in zabeležite obe.
Nič v dobesedni identiteti ne zahteva DNS. To je trditev, ki jo preveri druga stran, ne ime, ki ga mora omrežje razrešiti.
Tri ločene vrednosti, zapisane ločeno
Za enim zaslonom konfiguracije stojijo tri opravila, njihovo združevanje pa je draga napaka. Ena vrednost je naslov končne točke, ki določa, kam gredo paketi. Druga je lokalna identiteta, ki jo predstavi ta peer, tretja pa identiteta, ki jo pričakujete od oddaljene strani, preden jo overite. Zapišite jih kot tri vrstice v zahtevku za spremembo, ker vse manj opisuje VPN in ne razmerje.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Primerne identitete je treba izbrati in avtorizirati kot del uvajanja. To so trditve, ki jih preverjanje pristnosti preveri, ne poverilnice, ki bi naredile katerega koli peera zaupanja vrednega, zato verodostojno videti niz ne avtorizira ničesar.
Vrsta je del vrednosti
referenca identitet strongSwan ločuje FQDN, vrednosti v obliki e-pošte, naslove IP in druga kodiranja, zato je kodiranje enako pomembno kot znaki. Dve napravi lahko sprejmeta isto besedilo pod različnimi vrstami in se še vedno zavrneta. Zapis, ki vrednost zabeleži brez njene vrste, je polovica konfiguracije.
Ponudnika vprašajte, katero vrsto naprava dejansko pošilja, in to potrdite z dekodiranjem, ne z oznako vmesnika. Ugibana vrsta je neskladje, ki čaka na naslednjo spremembo.
Vsaka stran mora zadostiti drugi
Lokalna identiteta vsake strani mora prestati varnostno politiko druge strani. To ni isto kot prilepitev enega niza v vsako polje identitete na obeh napravah, kar je bližnjica, ki ustvari konfiguracijo, ki je nihče ne more razhroščevati.
Preverjanje pristnosti s potrdilom doda svoje zahteve, ker identiteta potrdila in pogoji zaupanja stojijo ob identiteti IKE, ki ste jo vnesli. Samo ujemanje identitete IKE ne avtorizira peera s potrdilom.
Kje je DNS pomemben in kaj zahteva vaša različica
Ime gostitelja prehoda, ki se uporablja za odkrivanje, res potrebuje delujoč DNS, in ta zahteva sodi k iskanju končne točke, ne k kakršnemu koli povratnemu iskanju vnesene identitete. V zahtevku ju hranite ločeno, ker se napaka pri odkrivanju in neskladje identitete v dnevniku odjemalca bereta podobno in se popravljata na različnih mestih.
Preberite razčlenjevalnik za izdelek in različico, ki ju resnično izvajate, preden kopirate skladnjo, ki vsili vrsto, saj so se starejše izdaje strongSwan obnašale drugače in drugi ponudniki dodajajo svoje omejitve. Ko primerjate oba konca, držite skupaj štiri stvari: pričakovano identiteto, predstavljeno identiteto, vrsto in napako preverjanja pristnosti. Ta nabor spremeni neskladje v dokaz namesto v mnenje.