Sida xaqiijinta isku-dhafan ee IKEv1 ugu gudubto xaqiijinta isticmaalaha IKEv2
Habka isku-dhafan wuxuu kala soocay caddaynta albaabka iyo caddaynta isticmaalaha. U gudubka IKEv2 wuxuu hayaa kala soociddaas laakiin wuxuu beddelaa is-weydaarsiga, habka EAP iyo hubinta shahaadada.
Profiil kasta oo VPN ah oo hore u codsada shahaadada serverka kadibna magaca isticmaalaha wuxuu qaadaa laba dhacdo oo xaqiijin ah hal is-weydaarsi, qaabkaasna wuu ka cimri dheeraadaa borotokoolka soo bandhigay. Habka isku-dhafan ee IKEv1 waxaa loo dhisay si gaar ah: albaabku wuxuu isku caddeeyaa fure dadweyne halka isticmaaluhu isku caddeeyo kadib XAuth. IKEv2 wuxuu ku muujiyaa fikradda laba-tallaabo isla midka ah hab kale, oo farqigaas ayaa guuritaanku ku guuldareystaa. Ma jiro lambar nooc oo mid u beddela kan kale, koobinta magacyada xulashooyinka hore ee profiil cusubna waxay soo saartaa macmiil gorgortan sameeya kadibna waxba xaqiijin.
Waxa habka isku-dhafan ku sameeyay gudaha IKEv1
Profiil isku-dhafan, dhinaca jawaabta wuxuu saxeexaa is-weydaarsiga wajiga koowaad shahaadadiisa halka bilaabuhu si ula kac ah u soo bandhigin shahaado. Sidaas darteed caddaynta aqoonsigu ma sinna, taasna waxay u ogolaatay albaabka inuu hayo PKI-da jirta halka isticmaalayaashu hayaan ereyada sirta ee tusmada. Marka wajiga koowaad dhammaado, XAuth wuxuu u shaqeeyaa sida codsi iyo jawaab qaada sifooyinka magaca isticmaalaha iyo ereyga sirta gudaha kanaalka ISAKMP ee hore loo sireeyay.
Fiiri halka kalsoonidu ku dhacdo. Shahaadadu waxay ka jawaabtaa albaabka ay macmiilku gaadhay; XAuth wuxuu ka jawaabaa isticmaalaha raba gelitaanka. Midna ma beddelo kan kale, macmiilna loo dejiyay inuu aqbalo shahaadada server kasta wuxuu aamusnaan tuuray jawaabta koowaad. Calaamadda isku-dhafan waxaa sidoo kale loo isticmaalaa habka gardarrada ee fure hore loo wadaagay lagana mid ah XAuth, habayn kale oo leh khibrad isticmaale isku mid ah, sidaas darteed akhri profiilka ee ma aha magaca. Labada noocba waxay ka yimaadeen qabyo-qoraal aan waligood standard noqon, taasna waa sababta laba soo-saare ay u hirgelin karaan habka isku-dhafan oo aanay la macaamil karin cidna.
Sida IKEv2 u gaadho labadaas caddayn
IKEv2 wuxuu shaqada u qaybiyaa IKE_SA_INIT iyo IKE_AUTH. Is-weydaarsiga koowaad wuxuu ku heshiiyaa soo-jeedinta iyo furayaasha iyada oo aan aqoonsi lahayn; kan labaad wuxuu qaadaa IDi, IDr iyo culayska AUTH. EAP hoostiisa culayska AUTH ee ugu horreeya bilaabuhu wuxuu u baxaa madhan, jawaabuhu wuxuu isu xaqiijiyaa marka hore shahaadadiisa iyo saxeexkiisa, kadibna wada-hadalka EAP wuxuu socdaa gudaha fariimaha IKE_AUTH.
Habka tan ammaan ka dhigaya waa agabka furaha. Hab EAP oo guulaysta wuxuu dhoofiyaa fure kulan, culayska AUTH ee ugu dambeeya bilaabuhuna waa laga xisaabiyaa isaga, sidaas darteed caddaynta isticmaalaha iyo furayaasha tunnelka waa isku xiran yihiin. XAuth ma laha wax u dhigma: sifooyinkiisu waxay yimaadaan wajiga koowaad kadib mana wax ku daro furayaasha. Godkaas ayaa qaab-dhismeedka IKEv2 loogu talagalay inuu xiro, taasna waa sababta gelitaanka IKEv2 ee shaqeeya uu hubiyo shahaadada serverka ka hor inta uusan waxba weydiin.
Nidaamkani sidoo kale waa ogaal faa'iido leh. Marka macmiilku ka cabanayo aqoonsiga gelitaanka ka hor inta uusan ku tusin shahaado, isagu gabi ahaan ma sameynayo is-weydaarsi EAP ee IKEv2.
Saddex aqoonsi kala hay
Guuritaanku wuu xumaadaa marka saddex aqoonsi ay ku daraan hal goob. Waxaa jira aqoonsiga albaabka ee macmiilku hubiyo, badanaa magac DNS ku jira subject ama SAN shahaadada. Waxaa jira aqoonsiga isticmaalaha ee lagu soo bandhigo EAP, laga yaabee gelitaan domain, cinwaan ama xarig aqoonsi EAP oo cad. Iyo sidoo kale isha fasaxa ee isticmaalahaas ugu xira shabakadaha iyo waddooyinka.
Habka qoraalka swanctl ee strongSwan wuxuu kala-soocidda muuqdaa: xiriirku wuxuu dhigaa remote { auth = pubkey } albaabka iyo local { auth = eap-mschapv2 } isticmaalaha, iyada oo aqoonsiga EAP si gooni ah loo qaado.
Marka aqoonsiga isticmaalaha ee profiilka cusub ka duwan yahay sifooyinka XAuth ee hore, tusaale UPN halkii magac gaaban, serverka xaqiijintu wuxuu arkaa isticmaale aan la aqoon oo guuldarradu waxay u ekaataa erey sir ah oo khaldan. Hubi xarigga aqoonsiga ka hor inta aadan hubin aqoonsiga gelitaanka.
Samee khariidad xulashooyinka kadibna filo dabinada
Khariidadu waa gaaban tahay oo saf kastaa wuxuu leeyahay dabinka soo baxa kaliya waqtiga xaqiijinta.
| Legacy hybrid element | IKEv2 equivalent | Where it bites |
|---|---|---|
| Gateway certificate, no client certificate | Responder authenticated with pubkey, initiator with EAP | The server needs an EAP method configured, not just a certificate |
| XAuth username and password | EAP-MSCHAPv2 or an inner method | Password policy and account format differ from the old directory field |
| XAuth attribute replies | IKEv2 configuration payload | Attribute numbering is unrelated; nothing is renamed |
| Proxy IDs from quick mode | TS_i and TS_r in IKE_AUTH | Narrowing on the responder can leave an IKE SA with no child SA |
Midna safafkaas kama ah beddel magac oo kaliya. Culayska habayntu wuxuu gaarsiiyaa cinwaannada iyo xalliyayaasha iyada oo loo marayo liis sifooyin nooc leh, halka goobta sifooyinka XAuth ay ahayd wax ay iyadu soo hindisay; u qaadashada inay is beddeli karaan waa jidka profiilku ku dhamaado codsanaya dejinta albaabku waligiis soo diri doonin.
Xulayaasha taraafikadu waxay mudan yihiin digniin u gaar ah. IKEv1 wuxuu taraafikada xiisaha leh ku muujin jiray aqoonsiyo wakiil oo ku xiran is-weydaarsiga quick mode, halka IKEv2 uu ka wada-hadlo xulayaasha inta lagu jiro IKE_AUTH oo jawaabuhu uu cidhiidhin karo. Is-waafajin la'aantu waxay soo saartaa IKE SA la aasaasay oo aan lahayn child SA, oo macmiillada qaar ay farxad ku muujiyaan inuu ku xiran yahay.
U qaado xiriirka hore sida xad
RFC 9395 wuxuu ku dhawaaqay IKEv1 inuu duugoobay, sidaas darteed xiriirka isku-dhafan ee hore waa xad is-waafajin leh taariikh, ma aha aasaas. Ku wad labada profiil oo wada socda inta beddelka socdo, sababtoo ah imtixaanka muhiimka ah ma aha in profiilka cusub uu kaco, laakiin in isla isticmaalaha isla qalabka uu gaadho isla kheyraadka.
Ku hay hubinta shahaadada mid adag bilow ilaa dhammaad. Marka macmiilku joojiyo soo bandhigidda shahaadadiisa, tijaabadu waa in la dabacsiiyo hubinta serverka ilaa is-gacan-qabsigu dhammaado, taasna waxay ku beddelataa caddaynta kaliya ee hadhay calaamad cagaaran.
Qor afar waxyaabood ka hor inta aadan hawlgab gelin profiilka hore: habka EAP, xarigga aqoonsiga, isha fasaxa iyo taariikhda taageeradu ku dhammaato.