iPhone IKEv2 do RouterOS: kateri identifikator kam sodi
O tunelu IKEv2 v iOS odločajo štiri ločene trditve: klicani naslov, pričakovana identiteta strežnika, zahtevana identiteta odjemalca in gradivo potrdila.
Doseg prehoda MikroTik reši samo transportno polovico uvedbe IKEv2 in nič drugega. Nato štiri ločene trditve odločijo, ali se tunel oblikuje: naslov, ki ga telefon kliče, identiteta strežnika, ki jo pričakuje, identiteta, ki jo zahteva zase, in gradivo potrdila, ki to trditev podpira. Preverjajte jih v tem vrstnem redu in ustavite se pri prvi, ki se ne ujema s tem, kar predstavlja prehod. Vsaka se ureja na drugem mestu, zato napačno urejanje običajno premakne napako, namesto da bi jo odpravilo.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Preverite polja profila v vrstnem redu, v katerem jih izmenjava uporablja
Oddaljeni naslov je cilj prvega paketa IKE in nič več. Oddaljeni identifikator je tisto, kar telefon pričakuje, da bo prehod dokazal, da je, in to je ime, ne pot. Izpolnjevanje obeh z istim imenom gostitelja deluje, ko potrdilo prehoda vsebuje to ime, in spodleti na način, ki je videti kot težava z usmerjanjem, ko ga ne vsebuje. Berite profil kot zaporedje trditev, ne kot seznam polj za izpolnjevanje.
Lokalni identifikator je lastna trditev telefona in mora biti ime, ki ga vnos identitete v RouterOS sprejme za potrdilo odjemalca, ki ga telefon predloži. Če se oba ne ujemata, prehod zavrne povezavo po tem, ko je bilo potrdilo samo potrjeno, in dnevnik je videti kot težava z dovoljenji, ne z imenovanjem.
Preverite identifikatorje proti temu, kar predstavlja prehod
Vnos partnerja v RouterOS, nastavljen za preverjanje pristnosti s potrdilom, predstavi svoje potrdilo, njegova identiteta pa se črpa iz tega potrdila, razen če ste nastavili drugače. Če oddaljeni identifikator telefona navaja ime DNS prehoda, potrdilo prehoda potrebuje to ime na mestu, ki ga bo telefon sprejel, običajno v alternativnem imenu subjekta. Potrdilo, izdano za drugo splošno ime, ne bo potrjeno, tudi če sta ključ in veriga brezhibna.
Upravljani profili Apple lahko nosijo tudi omejitev imena potrdila, ki se vrednoti poleg polj identifikatorja. Preglejte vsebino, namesto da bi ime za preverjanje sklepali iz tega, kar prikazuje zaslon nastavitev, ker to nista isti nastavitvi.
Preverite, da je potrdilo odjemalca ključ in ne le sidro zaupanja
Uvoz potrdila CA da telefonu nekaj, s čimer lahko potrdi prehod. Ne da mu identitete odjemalca, preverjanje pristnosti s potrdilom pa zahteva končno potrdilo odjemalca in njegov zasebni ključ, dostavljena skupaj po odobreni poti registracije. PKCS#12, zgrajen brez zasebnega ključa, ustvari profil, ki se čisto namesti in ničesar ne preveri.
Končno potrdilo odjemalca potrebuje tudi identiteto, ki jo pričakuje stran RouterOS, kar pomeni, da se mora subjekt ali alternativno ime subjekta ujemati z ustrezno konfiguracijo identitete. Izdajanje odjemalskih in strežniških potrdil iz ene CA naredi verigo priročno in ne naredi obeh končnih potrdil zamenljivih.
Preverite, da politika RouterOS sprejme to ime
Na prehodu vnos partnerja določi način izmenjave in metodo preverjanja pristnosti, vnos identitete pa sprejeto oddaljeno identiteto poveže s potrdilom in s politiko, ki sledi. V RouterOS v7 se ta par izraža z vnosi partnerja in identitete v IPsec, na primer partner IKEv2 z auth-method=digital-signature. Preverite dejansko vsebino menija v nameščeni različici, ne priročnika, napisanega za starejšo.
Tu je neusklajenost tudi najceneje odpraviti, ker vam prehod lahko pove tako prejeto kot želeno identiteto. Razširitev sprejete identitete, da bi utišali napako, odstrani vez, ki je uvedbi dajala smisel.
Preverite, katera stopnja je spodletela, preden karkoli uredite
Preberite poskus na obeh koncih in ga razvrstite, preden spremenite predlog. Neusklajenost predloga, manjkajoč ključ za podpis, nezanesljiv izdajatelj, napačen identifikator partnerja in zavrnjena avtorizacija odjemalca so s telefona videti kot mrtev tunel, vsak pa ima drugega odgovornega. Spreminjanje vseh petih nastavitev hkrati zagotavlja, da se iz rezultata ne boste ničesar naučili.
Zabeležite predstavljeno identiteto, pričakovano identiteto, izdajatelja in serijsko številko potrdila ter ime ustrezne politike, zasebne ključe in skrivnosti profila pa hranite zunaj tega zapisa. Ko preverjanje pristnosti uspe, preizkusite zasebno storitev in njen odgovor, ker morajo dodeljevanje naslovov, izbirniki, DNS in politika dostopa še vedno delovati po koncu izmenjave IKE.