strongSwan EAP: aqoonsiga IKE iyo magaca AAA ee la filayo

Macaamiil strongSwan EAP wuxuu xaqiijin karaa laba magac server. remote.id wuxuu daboolaa laga IKE, local.aaa_id-na wuxuu daboolaa server EAP; kuwani ma aha hal goob.

Xaqiijinta EAP ee IKEv2 waxay ka codsan kartaa macaamiisha inuu xaqiijiyo laba magac oo server oo kala duwan hal xiriir. Albaabka soo afjaraya IKE wuxuu soo bandhigaa hal aqoonsi, qaybta dambe ee EAP oo soo afjarta isdhaafsiga TLS ee gudaha waxay soo bandhigi kartaa mid kale. strongSwan gudaha waxay ku nool yihiin qaybo jaadasho oo kala duwan, magacna qaybta khaldan dhigashadiisu waxay keentaa guuldarro u eg mushkilad shahaado. Akhrinta xaqiijinta kee fashilmay ayaa kuu sheegta qaybta aad wax ka beddesho.

Hal xiriir, laba aqoonsi oo server

Aqoonsiga koowaad wuxuu ka tirsan yahay isdhaafsiga IKE. Macaamiilku wuxuu wacaa cinwaan wuxuuna filayaa in dhinaca kale uu caddeeyo aqoonsi gaar ah, badanaa magaca ku jira shahaadda albaabka.

Kan labaad wuxuu ka tirsan yahay EAP. PEAP ama TTLS, macaamiilku wuxuu dhisaa tunnel TLS u socda serverka xaqiijinta gudaha IKE SA, serverkaas gudahana wuxuu soo bandhigaa shahaaddiisa. Marka qaybta dambe ay tahay martigeliyaha gaar ah, magaceeda wuu ka duwan yahay kan albaabka. Macaamiil kaliya magaca koowaad baaraya wuxuu aqbalaa wax kasta oo kan labaad sheegto. Macaamiisha labada meelood isku magac lagu jaadajiyay wuu fashilmaa isla markii labadaas si dhab ah u kala duwanaadaan.

Labada magacba waxay ka yimaadaan jaadashada hawlwadeenka, ma aha shahaadda khaladka baabi'isa. Hawlwadeenka waydiinta faahfaahinta habaynta ayaa ka dhaqso badan in la mala-awaalo laba magac oo martigeliyayaal.

Goobtee ka tirsan lakabkee

swanctl gudaheed cinwaanka iyo aqoonsiga IKE waa jaadashooyin gooni ah, aqoonsiga EAP-na waa kan saddexaad.

Cinwaanka fog wuxuu doortaa halka xirmooyinku tagaan, aqoonsiga fogna wuxuu sheegaa waxa dhinaca kale caddeeyo. Rajada EAP waxaa lagu qoraa qaybta local hoosteeda, sababtoo ah waxay qeexaysaa isdhaafsiga EAP ee macaamiishan ee ma aha habdhaqanka IKE ee dhinaca kale. Goobtan ayaa dadka si khaldan u akhriya. Magacu wuxuu ku jiraa jaadashada macaamiisha isagoo qeexaya server, sababtaas darteedna wuxuu u muuqdaa meel khaldan.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Qaybtan ma aha xiriir buuxa; maaddada kalsoonida, aqoonsiga iyo siyaasadaha xiriirada carruurta weli waa inay jiraan. Si qoraal-qoraal ah ugu koobiyrka fayl shaqeeya waxay beddeli lahaa jaadashooyin aad weli u baahan tahay.

Sababta aaa_id ugu nool yahay local hoosteeda

Qaybta local waxay qeexaysaa waxa dhinacan sameeyo inta lagu jiro xaqiijinta, oo ay ku jirto habka uu isticmaali doono iyo aqoonsiga uu ka filayo dhinaca kale habkaas. Waxba kuma jiraan sheegaya in serverka AAA uu ku shaqeeyo isla mishiinka.

Qiimaha caadiga ah wuxuu dabinada ka dhigaa mid fiiqan. Marka aan qiime cad la dhigin, aqoonsiga AAA ee la filayo wuxuu raacaa aqoonsiga fog, sidaas darteed habaynta hal magac way shaqaysaa waxayna qarinaysaa farqiga. Qiime cad wuxuu muhiim yahay kaliya marka habaynta EAP si dhab ah ugu dhammaato meel kale. Ku dhigiisa magac kale sababtaas la'aan waxay abuurtaa guuldarro hawlwadeenku aanu soo saari karin. Akhri habaynta ka hor intaadan ikhtiraac magac labaad.

Ku hay qiimaha isku mid ah waxa shahaadda qaybta dambe si dhab ah u sheegto, oo ay ku jirto qaabka magaca. Dhibic dhammaadka ama calaamad wildcard oo aan daboolin martigeliyaha ayaa ku filan in baaritaanku fashilmo.

Wajiyada hore ee aan kala-sooca muujin karin

Profile NetworkManager ma aha isla interface jaadasho ee swanctl. Plugin-ka gadaashiisa wuxuu soo bandhigaa koontarool aqoonsi oo cidhiidhi ah, kee jiraana waxay ku xiran tahay nooca la rakibay.

Taasi waxay muhiim tahay marka habayntu si dhab ah ugu baahan tahay laba magac. Goob lagu calaamadeeyay aqoonsiga server waxay jaadajin kartaa hal lakab oo aan jaadajin kan kale, sidaas darteed profile wuxuu u muuqan karaa mid sax ah oo haddana ku fashilmi kara baaritaanka gudaha. Hubi waxa plugin-ka la rakibay taageerayo ka hor intaadan u malayn in profile-ku muujin karo habayntan. Haddii uusan karin, doorashadu waxay u taal hawlwadeenka: waddo bixineed oo kale, ama naqshad aqoonsi server oo la saxay. Daciifinta PEAP ama aqbalidda magac kasta waxay beddelaysaa siyaasadda xaqiijinta halkii ay saxayn lahayd.

Beddelka maaha wax lagu ikhtiraaco macaamiisha. Codso habaynta la taageerayo qoraal ahaan, kadibna hayso jawaabtaas profile-ka la socota.

Kala sooc aqoonsi isma-la-haan iyo shahaado dhacday

Magac isma-la-haan iyo shahaado dhacday waa guuldarrooyin kala duwan, log-kaana wuu kala soocaa. Akhri farriinta ka hor intaadan go'aansan goobta aad beddesho.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Dejinta aqoonsiga AAA ee loogu talagalay ma cusboonaysiiso shahaado mana dhisi kalsooni xagga soo saareheeda, cusboonaysiinta shahaadaduna ma saxdo magac khaldan oo la filayay. Akhri xaqiijinta kee fashilmay ka hor intaadan tafatir goob aqoonsi oo kale. Kadib dib u rar jaadashada oo xaqiiji in xiriirka la raray uu muujinayo qiimaha aad dejisay, sababtoo ah fayl la tafatiriyay oo aan waligiis la rarin waxba ma beddelo. Ku qor labada magac iyo lakabyadooda qoraallada habaynta.

Maqaallo la xiriira