strongSwan EAP: identiteta IKE proti pričakovanemu imenu AAA

Preverjanje pristnosti EAP prek IKEv2 lahko od odjemalca zahteva, da v eni povezavi preveri dve različni imeni strežnika. Prehod, ki zaključi IKE, predstavi eno identiteto, zaledni del EAP, ki zaključi notranjo izmenjavo TLS, pa lahko predstavi drugo. V strongSwanu živita v različnih konfiguracijskih blokih, ime v napačnem bloku pa povzroči napako, ki je videti kot težava s potrdilom. Prav branje, katero preverjanje je spodletelo, pove, kateri blok urediti.

Ena povezava, dve identiteti strežnika

Prva identiteta pripada izmenjavi IKE. Odjemalec pokliče naslov in pričakuje, da bo nasprotna stran dokazala določeno identiteto, običajno ime v potrdilu prehoda.

Druga pripada EAP. S PEAP ali TTLS odjemalec zgradi tunel TLS do strežnika za preverjanje pristnosti znotraj IKE SA, in ta notranji strežnik predstavi svoje potrdilo. Ko je zaledni del ločen gostitelj, se njegovo ime razlikuje od imena prehoda. Odjemalec, ki preveri samo prvo ime, sprejme, kar trdi drugo. In odjemalec, nastavljen z enim imenom na obeh mestih, spodleti takoj ko se ta dva res razlikujeta.

Obe imeni prihajata iz konfiguracije operaterja, ne iz potrdila, ki odpravi napako. Vprašati operaterja za podrobnosti uvedbe je hitreje kot ugibati dve imeni gostiteljev.

Katero polje pripada kateri plasti

V swanctl sta naslov in identiteta IKE ločeni nastavitvi, identiteta EAP pa je tretja.

Oddaljeni naslov izbere, kam gredo paketi, oddaljena identiteta pa pove, kaj mora nasprotna stran dokazati. Pričakovanje EAP se zapiše pod blok local, ker opisuje izmenjavo EAP tega odjemalca in ne vedenja IKE nasprotne strani. Prav ta postavitev se bere napačno. Ime stoji v konfiguraciji odjemalca, medtem ko opisuje strežnik, in zato je videti na napačnem mestu.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Ta odlomek ni popolna povezava; gradivo zaupanja, poverilnice in pravilniki podrejenih povezav morajo biti še vedno prisotni. Če ga dobesedno kopirate v delovno datoteko, boste zamenjali nastavitve, ki jih še potrebujete.

Zakaj aaa_id živi pod local

Blok local opisuje, kaj ta stran počne med preverjanjem pristnosti, vključno z metodo, ki jo bo uporabila, in identiteto, ki jo za to metodo pričakuje od druge strani. Nič v njem ne trdi, da strežnik AAA teče na istem stroju.

Privzeta vrednost naredi past ostrejšo. Ko ni nastavljene izrecne vrednosti, pričakovana identiteta AAA sledi oddaljeni identiteti, zato uvedba z enim imenom deluje in razliko skrije. Izrecna vrednost je pomembna le, ko se uvedba EAP res konča drugje. Nastavitev na drugo ime brez tega razloga ustvari napako, ki je operater ne more ponoviti. Preberite uvedbo, preden si izmislite drugo ime.

Vrednost naj bo enaka temu, kar potrdilo zalednega dela res trdi, vključno z obliko imena. Pika na koncu ali nadomestni znak, ki ne pokriva gostitelja, zadošča, da preverjanje spodleti.

Vmesniki, ki delitve ne morejo izraziti

Profil NetworkManager ni isti konfiguracijski vmesnik kot swanctl. Vtičnik za njim ponuja ožji nabor nadzorov identitete, in kateri obstajajo, je odvisno od nameščene različice.

To je pomembno, ko uvedba res potrebuje dve imeni. Polje z oznako identiteta strežnika lahko nastavi eno plast in ne druge, zato je profil lahko videti pravilen in vendar spodleti notranjemu preverjanju. Preverite, kaj nameščeni vtičnik podpira, preden domnevate, da lahko profil izrazi takšno ureditev. Če ne more, je izbira pri operaterju: druga pot zagotavljanja ali popravljena zasnova identitete strežnika. Oslabitev PEAP ali sprejetje katerega koli imena spremeni pravilnik preverjanja pristnosti, namesto da bi ga popravilo.

Alternative ne gre izmišljati na odjemalcu. Zahtevajte podprto ureditev pisno in nato ta odgovor hranite skupaj s profilom.

Ločite neskladje identitete od pretečenega potrdila

Neskladje imena in pretečeno potrdilo sta različni napaki, in dnevnik ju ločuje. Preberite sporočilo, preden se odločite, katero polje spremeniti.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Nastavitev predvidene identitete AAA ne podaljša potrdila in ne vzpostavi zaupanja v njegovega izdajatelja, podaljšanje potrdila pa ne popravi napačnega pričakovanega imena. Preberite, katero preverjanje je spodletelo, preden uredite še eno polje identitete. Nato znova naložite konfiguracijo in potrdite, da naložena povezava prikazuje nastavljeno vrednost, ker urejena datoteka, ki ni bila nikoli naložena, ne spremeni ničesar. Zapišite obe imeni in njuni plasti v zapiske o uvedbi.