strongSwan EAP: идентитет IKE наспрам очекиваног имена AAA

Клијент strongSwan EAP може да провери два имена сервера. remote.id покрива IKE мрежни пролаз, а local.aaa_id покрива EAP сервер; то нису исто поље.

EAP аутентификација преко IKEv2 може да захтева од клијента да у једном споју провери два различита имена сервера. Пролаз који завршава IKE представља један идентитет, а EAP позадина која завршава унутрашњу TLS размену може да представи други. У strongSwan-у они живе у различитим конфигурационим блоковима, а име у погрешном блоку даје грешку која изгледа као проблем са сертификатом. Управо читање тога која провера није успела каже који блок треба изменити.

Један спој, два идентитета сервера

Први идентитет припада IKE размени. Клијент бира адресу и очекује да супротна страна докаже одређени идентитет, обично име из сертификата пролаза.

Други припада EAP-у. Са PEAP или TTLS, клијент гради TLS тунел до сервера за аутентификацију унутар IKE SA, и тај унутрашњи сервер представља сопствени сертификат. Када је позадина одвојен домаћин, њено име се разликује од имена пролаза. Клијент који проверава само прво име прихвата све што друго тврди. А клијент подешен са једним именом на оба места не успева чим се та два заиста разликују.

Оба имена долазе из конфигурације оператера, а не из сертификата који уклања грешку. Питати оператера за детаље распоређивања брже је од нагађања два имена домаћина.

Које поље припада ком слоју

У swanctl-у су адреса и идентитет IKE одвојена подешавања, а идентитет EAP је трећи.

Адреса удаљене стране бира куда пакети иду, а идентитет удаљене стране каже шта супротна страна мора да докаже. Очекивање EAP-а се уписује под блок local, јер описује EAP размену овог клијента, а не понашање IKE супротне стране. Управо то место људи погрешно читају. Име стоји у конфигурацији клијента док описује сервер, и зато баш изгледа као да је на погрешном месту.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Тај одломак није потпун спој; материјал поверења, акредитиви и политике подређених спојева још морају да постоје. Дословно копирање у радну датотеку заменило би подешавања која су вам још потребна.

Зашто aaa_id живи под local

Блок local описује шта ова страна ради током аутентификације, укључујући метод који ће користити и идентитет који очекује од друге стране за тај метод. Ништа у њему не тврди да AAA сервер ради на истом рачунару.

Подразумевана вредност чини замку оштријом. Када није постављена изричита вредност, очекивани AAA идентитет прати идентитет удаљене стране, па распоређивање са једним именом ради и крије разлику. Изричита вредност је важна само када се EAP распоређивање заиста завршава негде другде. Постављање на друго име без тог разлога ствара грешку коју оператер не може да понови. Прочитајте распоређивање пре него што смислите друго име.

Држите вредност идентичном ономе што сертификат позадине заиста тврди, укључујући облик имена. Тачка на крају или џокер знак који не покрива домаћина довољни су да провера не успе.

Предњи интерфејси који не могу да изразе поделу

Профил NetworkManager-а није исти конфигурациони интерфејс као swanctl. Додатак иза њега излаже ужи скуп контрола идентитета, а које постоје зависи од инсталиране верзије.

То је важно када распоређивање заиста треба два имена. Поље означено као идентитет сервера може да подеси један слој, али не и други, па профил може да изгледа исправно и ипак не успе на унутрашњој провери. Проверите шта инсталирани додатак подржава пре него што претпоставите да профил може да изрази такав распоред. Ако не може, избор је на оператеру: други пут за обезбеђивање или исправљен дизајн идентитета сервера. Слабљење PEAP-а или прихватање било ког имена мења политику аутентификације уместо да је поправи.

Алтернатива није нешто што се измишља на клијенту. Затражите подржани распоред у писаном облику, а затим чувајте тај одговор уз профил.

Разликујте неслагање идентитета од истеклог сертификата

Неслагање имена и истекао сертификат су различите грешке, а дневник их разликује. Прочитајте поруку пре него што одлучите које поље да измените.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Постављање предвиђеног AAA идентитета не обнавља сертификат нити успоставља поверење у његовог издаваоца, а обнављање сертификата не исправља погрешно очекивано име. Прочитајте која провера није успела пре него што уредите још једно поље идентитета. Затим поново учитајте конфигурацију и потврдите да учитани спој приказује вредност коју сте поставили, јер измењена датотека која никада није учитана не мења ништа. Запишите оба имена и њихове слојеве у белешке о распоређивању.

Повезани чланци