Identiteti IKE apo adresa e pikës fundore: mos i ngatërroni
Një identitet IKE i tipit FQDN është vlerë literale vërtetimi, jo një kërkim DNS i kthyer. Mbani të ndara adresën e pikës fundore, identitetin lokal dhe peer-in e pritur.
Lexoni një fushë të etiketuar si identitet FQDN si një varg literal, jo si një kërkesë për emrin DNS të kthyer të adresës tuaj publike. Në parserin e strongSwan është pikërisht ky, një varg, dhe leximi i tij nuk e zgjidh kurrë në një pikë fundore. Vetëm ky fakt heq shpërqendrimin më të zakonshëm kur zgjidhni identifikues për një peer. Kontrollet më poshtë pengojnë tre vlerat e përfshira të shkrihen në një.
Një etiketë nuk është kërkim
Ndërfaqet e furnizuesve përdorin fjalë si FQDN dhe hostname lirshëm, dhe etiketa mbi një kuti nuk thotë asgjë për kodimin pas saj. Një pajisje që e quan një fushë Client FQDN mund të dërgojë një FQDN, një varg në formë emaili ose një adresë të pastër. Trajtojeni tekstin dhe tipin si dy vendime të ndara dhe regjistroni të dyja.
Asgjë në një identitet literal nuk kërkon DNS. Është një pohim që pala tjetër kontrollon, jo një emër që rrjeti duhet ta zgjidhë.
Tre vlera të ndara, të shkruara ndaras
Tri detyra qëndrojnë pas një ekrani konfigurimi, dhe shkrirja e tyre është gabimi i shtrenjtë. Një vlerë është adresa e pikës fundore, e cila vendos ku shkojnë paketat. Një tjetër është identiteti lokal që paraqet ky peer, dhe i treti është identiteti që prisni nga ana e largët përpara se ta vërtetoni. Shkruajini si tre rreshta në tiketën e ndryshimit, sepse çdo gjë më pak përshkruan një VPN dhe jo një marrëdhënie.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Identitetet shembull duhet të zgjidhen dhe autorizohen si pjesë e vendosjes. Janë pohime që vërtetimi i kontrollon, jo kredenciale që e bëjnë çdo peer të besueshëm, prandaj një varg që duket i besueshëm nuk autorizon asgjë.
Tipi është pjesë e vlerës
referenca e identiteteve të strongSwan ndan FQDN, vlera në formë emaili, adresa IP dhe kodime të tjera, prandaj kodimi ka po aq rëndësi sa karakteret. Dy pajisje mund të pranojnë të njëjtin tekst nën tipe të ndryshme dhe prapë të refuzojnë njëra-tjetrën. Një shënim që regjistron vlerën pa tipin e saj është gjysmë konfigurimi.
Pyetni furnizuesin se cilin tip dërgon në të vërtetë pajisja, dhe konfirmojeni me një dekodim dhe jo me etiketën e ndërfaqes. Një tip i hamendësuar është një mospërputhje që pret ndryshimin e radhës.
Secila palë duhet të kënaqë tjetrën
Identiteti lokal i secilës palë duhet të kalojë politikën e vërtetimit të palës tjetër. Kjo nuk është e njëjtë me ngjitjen e një vargu në çdo kuti identiteti në të dyja pajisjet, që është shkurtimi që prodhon një konfigurim që askush nuk mund ta korrigjojë.
Vërtetimi me certifikatë shton kërkesat e veta, sepse identiteti i certifikatës dhe kushtet e besimit qëndrojnë pranë identitetit IKE që keni shtypur. Vetëm përputhja e identitetit IKE nuk autorizon një peer me certifikatë.
Ku ka rëndësi DNS dhe çfarë imponon versioni juaj
Një hostname portë i përdorur për zbulim vërtet kërkon DNS që funksionon, dhe kjo kërkesë i përket gjetjes së pikës fundore dhe jo ndonjë kërkimi të kthyer të një identiteti të shtypur. Mbani të dyja të ndara në tiketë, sepse një dështim zbulimi dhe një mospërputhje identiteti lexohen njësoj në një log klienti dhe riparohen në vende të ndryshme.
Lexoni parserin për produktin dhe versionin që vërtet ekzekutoni përpara se të kopjoni sintaksë që imponon një tip, sepse versionet e vjetra të strongSwan silleshin ndryshe dhe furnizues të tjerë shtojnë kufizimet e tyre. Kur krahasoni dy skajet, mbani katër gjëra bashkë: identitetin e pritur, identitetin e paraqitur, tipin dhe gabimin e vërtetimit. Ky grup e kthen një mospërputhje në provë dhe jo në mendim.