Isku beddelka IKEv2 wuu shaqeeyaa, ka dib aqoonsiga wuu guuldareystaa: halka laga raadsho

Macmiil hela jawaab IKEv2 wuxuu caddeeyay in gateway-ga la gaari karo, in labada dhinac ay ka wada hadli karaan soo jeedin, iyo in isku beddelka fureyaasha bilowga ah uu dhammaaday. Laakiin ma uu caddeyn in qof la aqoonsaday. Isku beddelka xiga wuxuu qaadaa aqoonsiyo, shahaadooyin ama EAP, oo halkaas ayaa xidhiidhka badanaa istaagaa. Akhrinta hubinta kee baa guuldareystay waa dhammaan ogaanshaha, oo fariinta khaladka oo keligeed ayaa dhif u sheegta.

Hubin 1: akhri marxaladda, ma aha fariinta

Diidmadu waxay ka iman kartaa saddex meelood: macmiilka diidaya aqoonsiga server-ka, gateway-ga diidaya caddaynta macmiilka, iyo adeeg aqoonsi oo dibadda ah oo diidaya akoonka.

Mid kastaa wuxuu soo saaraa saf log oo kale oo ku yaal mishiin kale, oo mid kastaa wuxuu leeyahay xal kale. Diidmada shahaadada server-ka dhinaca macmiilka waa dhibaato kalsooni ama magacayn ku taal macmiilka; diidmada shahaadada macmiilka dhinaca gateway-ga waa dhibaato kalsooni ku taal gateway-ga; guuldarada EAP waa dhibaato akoon ama backend. Fariinta aad aragto badanaa waa soo koobidda macmiilka ee mid ka mid ah kuwaas, taas ayaa keenaysa in log-ga gateway-ga uu muhiim u yahay sida kan macmiilka.

Hubin 2: aqoonsiga kee baa la hubiyay

Macmiilku wuxuu diidi karaa shahaadada server-ka ama aqoonsiga la filayo ka hor inta aan la soo bandhigin wax xog aqoonsi ah oo isticmaale, oo cinwaanka server-ka ee shaqeeya ma beddelo hubintaas. Aqoonsiga macmiilku filayo waa inuu la jaanqaado waxa gateway-ga soo bandhigayo, taas oo ah xaqiiqo habaynta ah ee ma aha xaqiiqo shabakadeed.

Marka la eego ereyada strongSwan taas waa rightid macmiilka iyo aqoonsiga gateway-ga laftiisa dhinaca kale, oo is-khilaafku wuu guuldareystaa ka hor inta aan EAP laga hadlin.

Gateway-gu si gooni ah wuxuu diidi karaa shahaadada macmiilka, caddaynta fureyaasha ama aqoonsiga akoonka, oo saddexdaas isma beddeli karaan. Dib u dejin furaha sirta ee isticmaale ma cusboonaysiiso shahaadada qalabka, oo dib u rakibidda shahaadada qalabka ma hagaajiso aqoonsiga server-ka ee khaldan. Guuldarada shahaadada, hubi saacadda marka hore, ka dib silsiladda kalsoonida, ka dib aqoonsiga la filayo; macmiil saacaddiisu dhowr daqiiqo ku khaldan tahay wuu ku guuldareystaa hubin ansax ah oo u eg guuldarada kalsoonida. swanctl --list-certs labada daraf wuxuu muujinayaa waxa dhinac kastaa dhab ahaan haysto.

Hubin 3: haddii EAP ku lug leeyahay

Macmiilka iyo server-ku waa inay ku heshiiyaan hab la taageeray, oo backend-ku waa inuu aqbalaa aqoonsiga la bixiyay.

Magaca isticmaalaha waxaa laga yaabaa inuu u baahan yahay daba-galka domain ama qaab akoon gaar ah oo baahida deployment-ku tahay, oo qaabku waa la diiwaangeliyay ee ma aha mid la qiyaasi karo. Bixinta meelaha diiwaangeliyay ee hawlwadeenka ayaa ka dhaqso badan isku dayga noocyo kala duwan, oo waxay ka fogaataa dhibaato labaad: isku dayo soo noqnoqda waxay sababi karaan xidhitaanka akoonka, taas oo markaas qarinaysa marxaladda asalka ah guuldarro cusub gadaasheed. Haddii habku yahay EAP-MSCHAPv2 oo ka soo horjeedo buug-gacmeed, guuldaradu waxaa laga yaabaa inay ka tirsan tahay buug-gacmeedka ee ma aha VPN-ka.

Ha ku tijaabin dhibaatooyinka aqoonsiga inaad damiso hubinta aqoonsiga. Taasi waxay u beddelaysaa guuldarro la ogaan karo mid aan la ogaan karin oo waxay ka tagaysaa xidhiidhka mid ka itaal yar sidii hore.

Hubin 4: waxa dhaca ka dib gelitaan guuleystay

Marka IKE_AUTH dhammaado, gorgortanka CHILD_SA wuxuu go'aamiyaa doorashooyinka taraafikada ee la rakibayo, oo halkaas ayaa xidhiidhku guuleysan karaa oo weli waxba ma gudbin karo.

Gelitaan cusub oo shaqeeya wuxuu inta badan muujiyaa dhibaato doorasho ama waddo oo hore ugu qarsooneyd guuldarada aqoonsiga. Haddii tunnel-ku soo baxo oo codsigu weli aanu gaarin meeshiisa, eeg doorashooyinka iyo waddooyinka la gorgortay ee ha eegin aqoonsiga mar kale. Beddelka dejinta aqoonsiga wakhtigaas wuxuu bartilmaameedsadaa marxaladda khaldan oo badanaa jebiya gelitaan shaqeeya. Ku xaqiiji swanctl --list-sas, kaas oo muujinaya carruurta iyo doorashooyinkooda si gooni ah IKE SA.

Hubin 5: waxa la siinayo taageerada

Jadwal waqti oo nadiif ah iyo diidmada saxda ah ayaa ka qiimo badan dhoofinta ogaanshaha oo dhan, oo dhoofintu waxaa laga yaabaa inay ku jiraan fureyaal gaar ah ama xog aqoonsi oo aanay ahayn inaad wadaagto.

Diiwaangeli waqtiga aagga waqtiga, noocyada macmiilka iyo gateway-ga, habka, xarigga aqoonsiga la bixiyay ee ma aha furaha sirta, iyo marxaladda saxda ah ee diiday. dokumentiga habaynta IKEv2 ee strongSwan wuxuu sharraxayaa dejinta aqoonsiga iyo EAP ee go'aamisa natiijooyinkan, oo waa tixraaca la akhriyo ka hor inta aan la beddelin goob. Ka dib beddel hal shay oo dib u tijaabi xidhiidh cusub, sababtoo ah kulan kaydsan ayaa kuu sheegaya habaynta hore.