Laba aqoonsi oo hal IKEv2 gelitaan: ensiilka marka hore, kadib isticmaalaha

Shahaadada macmiilka waa la xaqiijiyaa, is-weydaarsiga koowaad wuu dhammaadaa, ka dibna xidhiidhku wuu istaagaa isagoo qalad ku saabsan wareeg xaqiijin dheeraad ah. Wax qalad ah kuma jira silsiladda shahaadada waxna kama beddelmin shabakadda. Sallaxdu waxay u habaysan tahay in ay ka dalbato caddayn labaad dhinaca isku xidha, macmiilkuna waligiis ma diro mid. Go'aaminta cidda wax caddaynaysa iyo taam ahaan, waa shaqada oo dhan, waxayna ka bilaabataa akhrinta siyaasadda meesha aad ka taagan tahay. Laba caddayn oo noocyo kala duwan ah, oo ku jira nidaam go'an, waa go'aan naqshadeed ee ma aha sanduuq calaamad.

Calaamadda: guuldarro ka dib caddaynta koowaad ee guulaysatay

Is-weydaarsiga koowaad wuu dhammaadaa oo log-ku wuxuu u muuqdaa mid caafimaad qaba, ilaa sallaxdu ka codsato aqoonsiga isticmaalaha iyada oo loo marayo EAP. Markaas gacan-qaadistu way istaagtaa ama waxay soo celisaa qalad borotokool oo magacaabaya wareegga dheeraadka ah. Shahaadada ensiilka oo si buuxda u ansax ah waa la diidayaa sabab aan wax xidhiidh ah la lahayn ansaxnaanteeda. Siyaasaddu waxay codsatay caddayn labaad, jawaabtii macmiilkana waligeed ma imanin.

Labada sharraxaad ee guuldarradaas way saxan yihiin iyadoo ku xidhan meesha aad taagan tahay. Dhinaca macmiilka waxay u egtahay server diidaya shahaado ansax ah, dhinaca serverkana waxay u egtahay macmiil aan dhammayn karin gelitaanka. Dhacdada isku mid ah waxaa loo akhriyaa dhibaato kalsooni warqad ganacsi mid ah iyo dhibaato awood mid kale. Kaliya siyaasadda habaysan ayaa kuu sheegta midka ay tahay.

Waxa kordhintu ku darayso iyo waxa aysan ku darayn

IKEv2 waxay qaadataa kordhin si loo sameeyo in ka badan hal is-weydaarsi xaqiijin gudaha hal fadhi. RFC 4739 waxay sawirtaa, oo ay la socdaan taxane kale, macmiil caddeeya aqoonsiga shahaadada kadibna xaqiijiya qof iyada oo loo marayo EAP. Dukumeentigu wuxuu ku jiraa xaaladda Experimental, taas oo macnaheedu yahay in aanay jirin wax fulin ah oo kugu leh waajibkan. Waxba ha ka malayn gelin taageerada ilaa dhinaca kale uu ka wada hadlo.

Labada dhinac waa in ay taageeraan kordhinta oo ay ku heshiiyaan inta lagu jiro is-weydaarsiga. Sallax loo habaystay wareeg labaad ma qasbi karto macmiil in uu sameeyo mid, macmiilka taageeraana ma isticmaali doono haddii serverku aanu codsan. Isku-dheellitirnaan la'aantaas ayaa sababta guuldarradu inta badan ugu muuqato waqti-bax ama qalad borotokool halkii ay ahaan lahayd odhan cad oo ku saabsan awoodda. Akhrinta habaynta hal dhinac waxay kuu sheegtaa kala-badhka waxa dhici doona.

Hal caddayn qayb kasta waa qaabka caadiga ah, tanina ma aha naqshaddaas. Sallaxdu waxay soo bandhigtaa shahaadadeeda, isticmaalahu wuxuu ku jawaabaa EAP, dhinac kastana wuxuu xaqiijiyay kan kale isagoo sax ah hal mar. Labadaas caddayn waxay ka imanayaan qaybo iska soo horjeeda, sidaas darteed midkoodna si gooni ah wax kama sheego ensiilka iyo qofka isticmaalaya.

EAP-TLS waa qaab saddexaad, oo tanina ma aha taas. Halkaas shahaadada macmiilka waxaa lagu soo bandhigaa gudaha habka EAP, sidaas darteed macmiilku wali wuxuu dhammaystiraa hal xaqiijin IKE. Aqoonsiga ayaa u ekaan kara sida kiiska wareegyo badan inta borotokoolku qaadanayo hal wareeg halkii laba. Taasi waa sababta naqshad laga koobiyeeyay rakibaad EAP-TLS ay ugu guuldarraysto sax ahaan barta laga filayo caddaynta labaad.

Isla faylkaas sallaxda waxaa loo akhriyaa si kale

Isla faylka swanctl waxaa loo akhriyaa si kale iyadoo ku xidhan meesha uu ku socdo, taasina waa qaybta dadka ku turunturoodaan. Laptop-ka sallaxdu waa dhinaca kale, sallaxdana laptop-ku waa dhinaca kale, sidaas darteed qor dhinaca local sida yaan baan ahay iyo dhinaca remote sida qofka aan aqbalayo. Block-ka local wuxuu sharraxayaa sida qaybtan ay isku xaqiijiso, block-ka remotena wuxuu sheegayaa waxa uu ka doonayo dhinaca kale. Koobinta block inta u dhaxaysa labada fayl waxay rogtaa macneheeda iyada oo aan hal xaraf beddelin. Isbarbardhigga labada fayl wax badanaa kumau sheego, sababtoo ah isla ereyada ayaa macne ka soo horjeeda ku leh mid kasta.

Booska qayb ayaa go'aamiya nidaamkeeda, haddii aan lambarka wareeggu ka sarreyn. Sidaas darteed qaybaha local ama remote ee dheeraadka ah waxay sharraxayaan wareegyo dheeraad ah ee ma aha beddello, lambarka wareegga cad ee tixraaca swanctl.conf wuxuu u jiraa si gaar ah in nidaamkaas loo sameeyo si ula kac ah. Isagoo aan jirin, dhaqaajinta block waxay beddeshaa dhaqanka. Taasi sidoo kale waa sababta laba habayn oo warqad ku u eg mid aan loo simanayn ay ugu dhaqmi karaan nidaam ka soo horjeeda.

Qaanuunka nidaamkaas wuxuu soo saaraa qaabka guuldarrada ee mudan in la xasuusto. Block-ka remote ee labaad ma aha ikhtiyaar kale oo la aqbali karo; waa dalab labaad, taasina waa sababta siyaasad loo akhriyo sida ama/ama ay ugu dhaqanto sida iyo-kadib. Siyaasadda sallaxdu waxay aqbali kartaa shahaadada ensiilka la diiwaangeliyay kadibna dalban kartaa is-weydaarsiga EAP ee isticmaalahaas, nidaamkaas.

Kala sooc wareegyada iyo arrimaha madaxbannaan

Laba wareeg ma aha si otomaatig ah laba arrimood oo madaxbannaan. Ku celinta caddayn, ama haynta laba aqoonsi oo isku bakhaar ah, ma bixiso awoodda naqshaddu ahayd in ay ku darsato. Madaxbannaanidu waa sifo ku saabsan sida sirta loo hayo iyo waxa khatarta geliya, ma aha inta is-weydaarsi ee borotokoolku sameeyo. Naqshad wareegyada u tirisaa arrimo waxay buunbuunisaa waxa ay haysato. Farqigaas ayaa ugu muhiimsan marka su'aal waafaqid ah ay weydiiso inta arrimood ee gelitaanku dhab ahaan isticmaalo.

Shahaadada ensiilku waxay caddaynaysaa haysashada furaha la aqbalay, wax kale ma aha. Ma aha caddayn qalab ama warbixin caafimaad qalabka, sidaas darteed siyaasad u baahan macluumaad xaaladeed waxay u baahan tahay hab kale. Goobta subject sidoo kale ma aha calaamad alaab la aamini karo, sababtoo ah subject waxaa doorta qofkii soo saaray ama diiwaangeliyay shahaadada. Haddii naqshaddu u baahan tahay caddayn in ensiilku caafimaad qabo, caddayntaas waa in ay ka timaaddo qayb cabbirta ensiilka.

Qor waxa wareeg kastaa dhab ahaan caddeeyo ka hor inta aanad ku darin. Marka laba wareeg ay isla shay laba jeer caddeeyaan, kan labaad wuxuu ku daraa gaabis iyo tigidhada taageerada halkii uu ku dari lahaa xaqiijin. Qoraalkaas sidoo kale waa waxa joojiya dood ku saabsan in wareegga dheeraadka ahi u qalmo kharashkiisa.

Qor qaanuunka lammaanaha oo tijaabi diidmada

Go'aami aqoonsiyada ensiilka ee la lammaanayn karo qofka, qaanuunkana ku qor meesha fulintu ku nooshahay. Laba aqoonsi oo ansax ah oo dhinac yaal waxba kama caddayn lammaanaha, sababtoo ah lammaanuhu waa go'aan idman oo ma aha natiijada xaqiijinta. Diiwaannada diiwaangelinta ama backend-ka xaqiijintu waa in ay fuliyaan xidhiidhka ay ururku rabo.

Kadib tijaabi waxa ay tahay in uu guuldarraysto: isticmaale la aqbalay oo ku jira ensiil aan la ansixin, isticmaale aan la ansixin oo haysta aqoonsiga ensiilka, iyo dhinac aan karin wareegga dheeraadka ah. Haddii saddexda si aamusan u helaan isla gelitaan, siyaasaddu waxay sharraxaysaa niyad halkii ay fulin lahayd. Isbarbardhig habaynta lagu dhawaaqay iyo waxa daemon-ku soo sheego, sababtoo ah xidhiidh aan waligiis wax ku habboonayn wuxuu u eg yahay qaanuun gudbay:

swanctl --list-conns
swanctl --list-sas

Hubi wareegyada la wada hadlay iyo idanka ka dhasha, ma aha kaliya gelitaanka guulaysatay. Oo ha u gurman habaynta hore ee IKEv1 XAuth sida waddo gaaban: u habee borotokoolka, doorarka, nidaamka iyo dhaqanka dhabta ah ee macmiilka halkii aad tirtirto wareeg loo baahan yahay ilaa xidhiidhku guulaysto. Tirtirista wareegga guuldarraysta waa sida naqshad laba caddayn leh si aamusan u noqoto naqshad hal caddayn leh oo aan cidna dib u eegin. Tirtirista ku hay diiwaanka isbeddelka.