strongSwan EAP: identiteti IKE kundrejt emrit AAA të pritur

Vërtetimi EAP mbi IKEv2 mund t’i kërkojë klientit të vërtetojë dy emra serveri të ndryshëm në një lidhje të vetme. Porta që përfundon IKE paraqet një identitet, dhe pjesa e pasme EAP që përfundon shkëmbimin e brendshëm TLS mund të paraqesë një tjetër. Në strongSwan ato jetojnë në blloqe konfigurimi të ndryshme, dhe vendosja e një emri në bllokun e gabuar prodhon një dështim që duket si problem certifikate. Është leximi i asaj se cili vërtetim dështoi ai që të tregon cilin bllok të editosh.

Një lidhje, dy identitete serveri

Identiteti i parë i përket shkëmbimit IKE. Klienti telefonon një adresë dhe pret që pala tjetër të provojë një identitet të caktuar, zakonisht emrin në certifikatën e portës.

I dyti i përket EAP. Me PEAP ose TTLS, klienti ndërton një tunel TLS drejt serverit të vërtetimit brenda IKE SA, dhe ai server i brendshëm paraqet certifikatën e vet. Kur pjesa e pasme është një host i veçantë, emri i saj ndryshon nga ai i portës. Një klient që kontrollon vetëm emrin e parë pranon çfarëdo që pohon i dyti. Dhe një klient i konfiguruar me një emër në të dy vendet dështon sapo të dy vërtet ndryshojnë.

Të dy emrat vijnë nga konfigurimi i operatorit, jo nga certifikata që e heq gabimin. Të pyesësh operatorin për detajet e vendosjes është më e shpejtë sesa të hamendësosh dy emra hostesh.

Cila fushë i përket cilit shtresë

Në swanctl adresa dhe identiteti IKE janë cilësime të veçanta, dhe identiteti EAP është i treti.

Adresa e largët zgjedh ku shkojnë paketat, dhe identiteti i largët thotë çfarë duhet të provojë pala tjetër. Pritshmëria EAP shkruhet nën bllokun local, sepse përshkruan shkëmbimin EAP të këtij klienti dhe jo sjelljen IKE të palës tjetër. Është pikërisht ky vendosje që lexohet gabimisht. Emri qëndron në konfigurimin e klientit ndërsa përshkruan një server, dhe pikërisht për këtë duket jashtë vendit.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Ky fragment nuk është një lidhje e plotë; materiali i besimit, kredencialet dhe politikat e lidhjeve bija duhet ende të jenë të pranishme. Kopjimi i tij fjalë për fjalë në një skedar pune do të zëvendësonte cilësime që ju nevojiten ende.

Pse aaa_id jeton nën local

Blloku local përshkruan çfarë bën ky skaj gjatë vërtetimit, duke përfshirë metodën që do të përdorë dhe identitetin që pret nga skaji tjetër për atë metodë. Asgjë në të nuk pohon se serveri AAA xhiron në të njëjtën makinë.

Vlera e parazgjedhur e bën kurthin më të mprehtë. Kur nuk është vendosur një vlerë e qartë, identiteti AAA i pritur ndjek identitetin e largët, kështu që një vendosje me një emër funksionon dhe e fsheh dallimin. Një vlerë e qartë ka rëndësi vetëm kur vendosja EAP përfundon vërtet diku tjetër. Vendosja e saj në një emër tjetër pa atë arsye krijon një dështim që operatori nuk mund ta riprodhojë. Lexo vendosjen para se të shpikësh një emër të dytë.

Mbaje vlerën identike me atë që certifikata e pjesës së pasme pohon vërtet, përfshirë formën e emrit. Një pikë në fund ose një karakter i përgjithshëm që nuk e mbulon hostin mjafton që kontrolli të dështojë.

Ndërfaqet që nuk mund ta shprehin ndarjen

Një profil NetworkManager nuk është e njëjta ndërfaqe konfigurimi si swanctl. Shtojca pas saj ofron një grup më të ngushtë kontrollesh identiteti, dhe cilat ekzistojnë varet nga versioni i instaluar.

Kjo ka rëndësi kur vendosja ka vërtet nevojë për dy emra. Një fushë e etiketuar si identitet serveri mund të konfigurojë një shtresë dhe jo tjetrën, kështu që një profil mund të duket i saktë dhe prapëseprapë të dështojë kontrollin e brendshëm. Kontrollo çfarë mbështet shtojca e instaluar përpara se të supozosh që profili mund ta shprehë këtë rregullim. Nëse nuk mundet, zgjedhja i takon operatorit: një rrugë tjetër furnizimi ose një dizajn i korrigjuar i identitetit të serverit. Dobësimi i PEAP ose pranimi i çdo emri ndryshon politikën e vërtetimit në vend që ta rregullojë.

Alternativa nuk është diçka për t’u shpikur në klient. Kërko me shkrim rregullimin e mbështetur, pastaj mbaje atë përgjigje bashkë me profilin.

Dalloni një mospërputhje identiteti nga një certifikatë e skaduar

Një mospërputhje emri dhe një certifikatë e skaduar janë dështime të ndryshme, dhe regjistri i dallon ato. Lexo mesazhin përpara se të vendosësh cilën fushë të ndryshosh.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Vendosja e identitetit të synuar AAA nuk rinovon një certifikatë dhe nuk vendos besim te lëshuesi i saj, dhe rinovimi i një certifikate nuk korrigjon një emër të pritur të gabuar. Lexo cili vërtetim dështoi përpara se të editosh një fushë tjetër identiteti. Pastaj ringarko konfigurimin dhe konfirmo që lidhja e ngarkuar tregon vlerën që vendose, sepse një skedar i edituar që nuk u ngarkua kurrë nuk ndryshon asgjë. Shkruaj të dy emrat dhe shtresat e tyre në shënimet e vendosjes.