iPhone IKEv2 hadi RouterOS: kitambulisho kipi kinakwenda wapi
Madai manne tofauti huamua handaki la IKEv2 kwenye iOS: anwani inayopigwa, utambulisho wa seva unaotarajiwa, utambulisho wa mteja unaodaiwa na nyenzo za cheti.
Kufikia lango la MikroTik hutatua nusu ya usafirishaji ya usambazaji wa IKEv2 na hakuna kingine. Kisha madai manne tofauti huamua kama handaki litaundwa: anwani ambayo simu hupiga, utambulisho wa seva unaotarajiwa, utambulisho ambao simu hujidai, na nyenzo za cheti zinazounga mkono dai hilo. Yachunguze kwa mpangilio huo, na usimame kwenye la kwanza lisilolingana na kile lango linawasilisha. Kila moja huhaririwa mahali tofauti, ndiyo sababu uhariri mbaya kwa kawaida huhamisha hitilafu badala ya kuitatua.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Chunguza sehemu za wasifu kwa mpangilio ambao ubadilishanaji huzitumia
Anwani ya mbali ni mahali pa kwenda kwa pakiti ya kwanza ya IKE na hakuna zaidi. Kitambulisho cha mbali ni kile ambacho simu hutarajia lango lithibitishe kuwa ni yeye, na ni jina, si njia. Kujaza zote mbili kwa jina moja la mwenyeji hufanya kazi wakati cheti cha lango kinabeba jina hilo, na hushindwa kwa namna inayofanana na tatizo la uelekezaji wakati hakibebi. Soma wasifu kama mfululizo wa madai, si orodha ya sehemu za kujaza.
Kitambulisho cha ndani ni dai la simu yenyewe, na lazima liwe jina ambalo ingizo la utambulisho la RouterOS hukubali kwa cheti cha mteja ambacho simu huwasilisha. Ikiwa hayo mawili hayapatani, lango hukataa muunganisho baada ya cheti chenyewe kuthibitishwa, na kumbukumbu huonekana kama tatizo la idhini badala ya la majina.
Chunguza vitambulisho dhidi ya kile lango linawasilisha
Ingizo la mwenza la RouterOS lililowekwa kwa uthibitishaji wa cheti huwasilisha cheti chake mwenyewe, na utambulisho wake huchukuliwa kutoka cheti hicho isipokuwa umeweka mipangilio mingine. Ikiwa kitambulisho cha mbali cha simu kinataja jina la DNS la lango, cheti cha lango linahitaji jina hilo mahali ambapo simu itakubali, kwa kawaida jina mbadala la somo. Cheti kilichotolewa kwa jina lingine la kawaida hakitathibitishwa hata kama ufunguo na mnyororo ni kamili.
Wasifu wa Apple unaosimamiwa pia unaweza kubeba kizuizi cha jina la cheti kinachotathminiwa pamoja na sehemu za kitambulisho. Kagua mzigo badala ya kukisia jina la uthibitishaji kutokana na kile skrini ya mipangilio inaonyesha, kwa sababu hayo mawili si mpangilio mmoja.
Chunguza kwamba cheti cha mteja ni ufunguo, si nanga ya uaminifu pekee
Kuingiza cheti cha CA humpa simu kitu cha kuthibitishia lango. Hakimpi simu utambulisho wa mteja, na uthibitishaji wa cheti unahitaji cheti cha jani la mteja na ufunguo wake wa kibinafsi vikiletwa pamoja kupitia njia ya usajili iliyoidhinishwa. PKCS#12 iliyojengwa bila ufunguo wa kibinafsi hutoa wasifu unaosakinishwa safi na hauthibitishi chochote.
Jani la mteja pia linahitaji utambulisho ambao upande wa RouterOS unautarajia, yaani somo au jina mbadala la somo lazima liafiki usanidi husika wa utambulisho. Kutoa vyeti vya mteja na seva kutoka CA moja hufanya mnyororo kuwa rahisi na hakufanyi majani mawili kubadilishana.
Chunguza kwamba sera ya RouterOS inakubali jina hilo
Kwenye lango, ingizo la mwenza huweka hali ya ubadilishanaji na njia ya uthibitishaji, na ingizo la utambulisho hufunga utambulisho wa mbali uliokubaliwa kwa cheti na kwa sera inayofuata. Katika RouterOS v7 jozi hilo huonyeshwa kupitia ingizo za mwenza na utambulisho za IPsec, kwa mfano mwenza wa IKEv2 wenye auth-method=digital-signature. Chunguza maudhui halisi ya menyu kwenye toleo lako lililosakinishwa, si mwongozo ulioandikwa kwa toleo la zamani.
Hapa pia kutopatana ni kutatua kwa gharama ndogo zaidi, kwa sababu lango linaweza kukuambia utambulisho uliopokelewa na ule uliotakiwa. Kupanua utambulisho unaokubaliwa ili kunyamazisha hitilafu huondoa kifungo kilichofanya usambazaji uwe na maana.
Chunguza hatua gani ilishindwa kabla ya kuhariri chochote
Soma jaribio katika ncha zote mbili na uliainishe kabla ya kubadilisha pendekezo. Kutopatana kwa pendekezo, ufunguo wa sahihi unaokosekana, mtoaji asiyetegemewa, kitambulisho kibaya cha mwenza na idhini ya mteja iliyokataliwa vyote huonekana kama handaki lililokufa kutoka kwa simu, na kila moja lina mmiliki tofauti. Kubadilisha mipangilio yote matano kwa mara moja huhakikisha kuwa hutajifunza chochote kutoka kwa matokeo.
Rekodi utambulisho uliowasilishwa, utambulisho unaotarajiwa, mtoaji wa cheti na namba yake ya mfululizo na jina la sera husika, huku ukiweka funguo za kibinafsi na siri za wasifu nje ya kumbukumbu hiyo. Uthibitishaji ukipita, jaribu huduma ya kibinafsi na jibu lake, kwa sababu ugawaji wa anwani, vichaguzi, DNS na sera ya ufikiaji bado lazima vifanye kazi baada ya ubadilishanaji wa IKE kumalizika.