IKEv2 anwani ya seva dhidi ya utambulisho: ni nini mteja hukagua

Lango linalobadilisha anwani linaweza kuendelea kufanya kazi huku lango lile lile nyuma ya cheti kipya likisimama, na kinyume chake hutokea pia. Anwani inamwambia mteja mahali pa kutuma pakiti; utambulisho ulioidhinishwa humwambia mteja kama rika anayejibu ndiye anayepaswa kumwamini. IKEv2 huziweka kama sehemu mbili tofauti, ambayo ni muhimu mara tu unapoacha kuzichukulia kama kamba moja. Pia zimesanidiwa katika sehemu tofauti, kwa hivyo moja inaweza kuwa sahihi wakati nyingine sio sahihi.

Ziangalie kwa mpangilio huu na usimame katika kutolingana kwa mara ya kwanza, kwa sababu hundi za baadaye zinadhania za awali zimepita.

Kwanza, ni thamani gani ni anwani

Anwani ya muunganisho ni chochote anachopiga mteja: IP, jina la DNS ambalo hutatuliwa kwa moja, au ncha ya mbele iliyosawazishwa. Hiyo ni habari ya usafiri na hakuna zaidi. Utambulisho huwekwa katika mzigo wa malipo ya kitambulisho cha IKEv2 na kisha hulinganishwa na cheti cha programu rika. Jina DNS katika kisanduku cha anwani haliwi utambulisho unaotarajiwa, na IP ghafi haiwi utambulisho kwa sababu tu soketi imeunganishwa nayo.

Kwa maneno ya strongSwan, anwani ni right au left, na utambulisho unaotarajiwa ni rightid au leftid, na hivyo ndivyo IKEv2 hati za usanidi hufafanua. Ikiwa umewahi kuhariri anwani pekee, umesanidi nusu ya jozi.

Pili, cheti kinaweza kuthibitisha nini

Kitambulisho kina aina, na cheti lazima kiwe na jina linalolingana. Utambulisho wa DNS unaridhishwa na ingizo la dNSName katika kiendelezi cha jina mbadala la somo; kitambulisho cha IP kinahitaji ingizo la iPAddress. Cheti kilichotolewa cha vpn.example.com hakithibitishi chochote kuhusu anwani halisi 203.0.113.10, na kilichotolewa kwa anwani hiyo hakithibitishi chochote kuhusu jina. Kutoa tena kwa jina tofauti si uingizwaji wa kunjuzi, hata wakati ufunguo sawa na CA zinatumika tena.

Wateja wa kisasa hupuuza jina la kawaida wakati jina mbadala la somo lipo, na wengi hupuuza kabisa. Ikiwa orodha ya SAN haina thamani ambayo mteja hukagua, kupeana mkono kutashindikana baada ya cheti tayari kukubaliwa kuwa cha kuaminika, ndiyo maana kumbukumbu inasomeka kama hitilafu ya utambulisho badala ya hitilafu ya uaminifu.

Tatu, jinsi kila mteja anavyosema matarajio

Windows huchukua jina la seva au anwani uliyocharaza na inahitaji cheti ili kuendana nayo, kwa hivyo kuandika IP huleta matarajio ya IP. Android IKEv2 mteja anatenda kwa njia sawa, na wote wanakataa cheti halali, kinachoaminika hadharani ambacho kinataja seva pangishi tofauti. Wasifu unaweza kuanza kushindwa kwa sababu tu mtu alibadilisha jina la mpangishaji na kuweka anwani yake wakati wa uhamishaji. Angalia kile mteja aliuliza kabla ya kuangalia cheti kina nini.

Kwenye strongSwan matarajio ni wazi: weka rightid kwa utambulisho ambao seva inawasilisha, ambayo inaweza kutofautiana na kulia. Kuiweka kuwa %any kunakubali chochote ambacho programu zingine hutoa na kuondoa hundi haswa unayojaribu kuweka.

Nne, tenganisha kuingia kwa mtumiaji kutoka kwa utambulisho wa rika

EAP uthibitishaji na utambulisho wa seva hujibu maswali tofauti. EAP utambulisho kama vile [email protected] husema mtumiaji ni nani, baada ya mteja kuamua kuwa seva ndiyo sahihi. Kuzungusha nenosiri hilo hakuwezi kurekebisha kutolingana kwa utambulisho wa rika, kwa sababu muunganisho haufikii hatua ya kuingia kwa mtumiaji.

Ripoti iliyosafishwa inapaswa kutaja zote mbili: utambulisho mteja alitarajia, utambulisho ambao seva iliwasilisha, na maingizo ya cheti SAN.

Tano, ibadilishe kupitia kituo kilichothibitishwa

Lango linaposogezwa kihalali, sasisha anwani kwanza na uache utambulisho pekee, kwa sababu ndivyo hivyo IKEv2 hushughulikia vyema. Wakati kitambulisho chenyewe kinapobadilika, kichukue kama tukio la kuaminiwa na upate thamani mpya kutoka kwa chanzo ambacho tayari unakiamini, na si kutoka kwa sehemu ya mwisho ambayo inashindikana kwa sasa. Ujumbe unaowasilishwa kupitia muunganisho unaojaribu kuthibitisha sio ushahidi kuhusu muunganisho huo.

Rekodi anwani ya mwisho, utambulisho na orodha ya SAN pamoja katika maelezo ya wasifu. Mtu anayefuata kugusa cheti ataona ni yupi kati ya hao watatu anaruhusiwa kusogeza.