Vitambulisho viwili katika kuingia moja kwa IKEv2: mashine, kisha mtumiaji

Cheti cha mteja kinathibitishwa, mabadilishano ya kwanza yanakamilika, na kisha muunganisho unasimama na hitilafu kuhusu mzunguko wa ziada wa uthibitishaji. Hakuna kitu kibaya katika mnyororo wa vyeti na hakuna kitu kwenye mtandao kilichobadilika. Lango limewekwa ili kudai uthibitisho wa pili kutoka upande unaounganisha, na mteja hautumi kamwe mmoja. Kuamua nani anathibitisha nini, kwa mpangilio gani, ni kazi yote, na huanza kwa kusoma sera kutoka kwenye kifaa ulichosimama. Uthibitisho miwili ya aina tofauti, kwa mpangilio maalum, ni uamuzi wa muundo na si kisanduku cha kuteua.

Dalili: kushindikana baada ya uthibitisho wa kwanza uliofanikiwa

Mabadilishano ya kwanza yanakamilika na kumbukumbu inaonekana nzuri, hadi lango linapoomba utambulisho wa mtumiaji kupitia EAP. Makubaliano basi yanasimama au yanarudisha hitilafu ya itifaki inayotaja mzunguko wa ziada. Cheti halali kabisa cha mashine kinakataliwa kwa sababu isiyohusiana na uhalali wake. Sera iliomba uthibitisho wa pili, na jibu la mteja halikufika kamwe.

Maelezo yote mawili ya kushindikana huko ni sahihi kulingana na mahali ulipo. Kutoka upande wa mteja inaonekana kama seva inayokataa cheti halali, na kutoka upande wa seva inaonekana kama mteja asiyeweza kumaliza kuingia. Tukio hilo hilo linasomwa kama tatizo la uaminifu katika kumbukumbu moja na tatizo la uwezo katika nyingine. Ni sera iliyowekwa tu inayokuambia ni ipi.

Kiendelezi kinaongeza nini, na hakiongezi nini

IKEv2 hubeba kiendelezi cha kuendesha mabadilishano zaidi ya moja ya uthibitishaji ndani ya kipindi kimoja. RFC 4739 inachora, miongoni mwa mifuatano mingine, mteja anayethibitisha utambulisho wa cheti kisha kuthibitisha mtu kupitia EAP. Hati hiyo ni ya Majaribio, ikimaanisha hakuna utekelezaji unaokudaiwa kipengele hicho. Usidhani kitu kuhusu msaada hadi upande mwingine ujadiliane nao.

Pande zote mbili lazima ziunge mkono kiendelezi na zikubaliane juu yake wakati wa mabadilishano. Lango lililowekwa kwa mzunguko wa pili haliwezi kulazimisha mteja kufanya mmoja, na mteja anayeunga mkono hatatumia isipokuwa seva iombe. Utengano huo ndio sababu kushindikana kwa kawaida huonekana kama muda wa kusubiri au hitilafu ya itifaki badala ya taarifa wazi kuhusu uwezo. Kusoma usanidi wa upande mmoja kunakuambia nusu ya kitakachotokea.

Uthibitisho mmoja kwa kila kifaa ni umbo la kawaida, na si muundo huu. Lango linawasilisha cheti chake, mtumiaji anajibu EAP, na kila upande umethibitisha mwingine mara moja hasa. Uthibitisho huo miwili unatoka kwenye viungo vinavyopingana, kwa hivyo hakuna hata mmoja unaosema kitu tofauti kuhusu mashine na mtu anayeitumia.

EAP-TLS ni umbo la tatu, na pia si hili. Huko cheti cha mteja kinawasilishwa ndani ya mbinu ya EAP, kwa hivyo mteja bado anamaliza uthibitishaji mmoja wa IKE. Vitambulisho vinaweza kuonekana sawa na kesi ya mizunguko mingi wakati itifaki inabeba mzunguko mmoja badala ya miwili. Ndio sababu muundo ulionakiliwa kutoka kwa usambazaji wa EAP-TLS unashindikana mahali hasa panapotarajiwa uthibitisho wa pili.

Faili moja inasomwa tofauti kwenye lango

Faili hiyo hiyo ya swanctl inasomwa tofauti kulingana na mahali inapoendeshwa, na hiyo ni sehemu inayowachanganya watu. Kwenye kompyuta ya mkononi lango ni upande mwingine, na kwenye lango kompyuta hiyo ni, kwa hivyo andika upande wa local kama mimi ni nani na upande wa remote kama nitakubali nani. Kizuizi cha local kinaeleza jinsi kifaa hiki kinajithibitisha chenyewe, na kizuizi cha remote kinataja kinachohitaji kutoka upande mwingine. Kunakili kizuizi kati ya faili mbili kunapindua maana yake bila kubadilisha herufi hata moja. Kulinganisha faili mbili hakuambii karibu kitu, kwa sababu maneno yale yale yana maana pinzani katika kila moja.

Nafasi ya sehemu huweka mpangilio wake isipokuwa nambari ya mzunguko iibadilishe. Sehemu za ziada za local au remote kwa hivyo zinaeleza mizunguko ya ziada badala ya njia mbadala, na nambari dhahiri ya mzunguko katika marejeleo ya swanctl.conf ipo hasa ili kufanya mpangilio huo uwe wa kukusudia. Bila hiyo, kuhamisha kizuizi hubadilisha tabia. Ndio sababu pia usanidi mbili zinazoonekana sawa kwenye karatasi zinaweza kuwa na tabia kwa mpangilio pinzani.

Sheria hiyo ya mpangilio huzalisha hali ya kushindikana inayostahili kukumbukwa. Kizuizi cha pili cha remote si chaguo lingine linalokubalika; ni dai la pili, ndio sababu sera inayosomeka kama ama/au huishi kama na-kisha. Sera ya lango inaweza kukubali cheti cha mashine iliyosajiliwa kisha kudai mabadilishano ya EAP ya mtumiaji huyo, kwa mpangilio huo.

Tofautisha mizunguko na vipengele huru

Mizunguko miwili si vipengele viwili huru kiotomatiki. Kurudia uthibitisho, au kushikilia vitambulisho viwili katika hifadhi moja, hakutoa nguvu ambayo muundo ulipaswa kuongeza. Uhuru ni sifa ya jinsi siri zinavyoshikiliwa na kile kinachozivunja, si ya idadi ya mabadilishano ambayo itifaki huendesha. Muundo unaohesabu mizunguko kama vipengele hupuuza kile kilichonacho. Tofauti hiyo ni muhimu zaidi pale swali la uzingatiaji linapouliza ni vipengele vingapi kuingia kunatumia kwa kweli.

Cheti cha mashine kinathibitisha umiliki wa ufunguo wake uliokubaliwa, na hakuna zaidi. Si uthibitisho wa maunzi na si ripoti ya afya ya kifaa, kwa hivyo sera inayohitaji taarifa za hali inahitaji mbinu nyingine. Wala sehemu ya subject si lebo ya orodha unayoweza kuiamini, kwa sababu subject huchaguliwa na aliyetoa au kusajili cheti. Ikiwa muundo unahitaji uthibitisho kwamba mashine ni nzuri, uthibitisho huo lazima utoke kwa kipengele kinachopima mashine.

Andika kila mzunguko unachothibitisha kwa kweli kabla ya kuuongeza. Mizunguko miwili inapothibitisha kitu kimoja mara mbili, wa pili huongeza ucheleweshaji na tiketi za msaada badala ya uhakika. Kumbuka hiyo pia ndiyo inayozuia mjadala kuhusu kama mzunguko wa ziada unastahili gharama yake.

Andika sheria ya uoanishaji na jaribu kukataliwa

Amua ni vitambulisho vipi vya mashine vinaweza kuoanishwa na watu gani, na andika sheria mahali ambapo utekelezaji upo. Vitambulisho viwili halali kando kando havithibitishi kitu kuhusu uoanishaji, kwa sababu uoanishaji ni uamuzi wa uidhinishaji na si matokeo ya uthibitishaji. Kumbukumbu za usajili au backend ya uthibitishaji lazima itekeleze uhusiano ambao shirika linataka.

Kisha jaribu kile kinachopaswa kushindikana: mtumiaji aliyekubaliwa kwenye mashine isiyoidhinishwa, mtumiaji asiyeidhinishwa akiwa na cheti cha mashine, na upande mwingine usioweza kufanya mzunguko wa ziada. Ikiwa wote watatu wanapata kimya kimya ufikiaji ule ule, sera inaeleza nia badala ya kuitekeleza. Linganisha usanidi uliotangazwa na kile daemon inaripoti, kwa sababu muunganisho ambao haukuunganishwa kamwe unaonekana sawa na sheria iliyopita:

swanctl --list-conns
swanctl --list-sas

Angalia mizunguko iliyojadiliwa na uidhinishaji unaotokana, si kuingia kulikofanikiwa tu. Na usikimbilie mipangilio ya zamani ya XAuth ya IKEv1 kama njia ya mkato: oanisha itifaki, majukumu, mpangilio na tabia halisi ya mteja badala ya kufuta mzunguko unaohitajika hadi muunganisho ufanikiwe. Kufuta mzunguko unaoshindikana ndio jinsi muundo wa uthibitisho miwili unavyogeuka kimya kimya kuwa muundo wa uthibitisho mmoja ambao hakuna aliyekagua. Weka ufutaji huo kwenye kumbukumbu ya mabadiliko.