strongSwan EAP: utambulisho wa IKE dhidi ya jina la AAA linalotarajiwa

Uthibitishaji wa EAP juu ya IKEv2 unaweza kuhitaji mteja kuthibitisha majina mawili tofauti ya seva katika muunganisho mmoja. Lango linalomaliza IKE linawasilisha utambulisho mmoja, na sehemu ya nyuma ya EAP inayomaliza ubadilishanaji wa TLS wa ndani inaweza kuwasilisha mwingine. Katika strongSwan haya yanaishi katika vitalu tofauti vya usanidi, na kuweka jina katika kitalu kisichofaa huzalisha kosa linalofanana na tatizo la cheti. Kusoma ni uthibitishaji upi ulioshindwa ndiko kunakuambia kitalu kipi cha kuhariri.

Muunganisho mmoja, utambulisho miwili wa seva

Utambulisho wa kwanza ni wa ubadilishanaji wa IKE. Mteja hupiga anwani na hutarajia upande wa pili kuthibitisha utambulisho maalum, kwa kawaida jina lililo katika cheti cha lango.

Wa pili ni wa EAP. Kwa PEAP au TTLS, mteja hujenga handaki la TLS kwa seva ya uthibitishaji ndani ya IKE SA, na seva hiyo ya ndani huwasilisha cheti chake. Wakati sehemu ya nyuma ni mwenyeji tofauti, jina lake hutofautiana na la lango. Mteja anayekagua jina la kwanza tu hukubali chochote kinachodaiwa na la pili. Na mteja aliyesanidiwa kwa jina moja katika sehemu zote mbili hushindwa mara tu hayo mawili yanapotofautiana kweli.

Majina yote mawili yanatoka kwa usanidi wa mwendeshaji, si kwa cheti kinachoondoa kosa. Kumuuliza mwendeshaji maelezo ya usambazaji ni haraka kuliko kukisia majina mawili ya mwenyeji.

Uwanja upi ni wa tabaka gani

Katika swanctl anwani na utambulisho wa IKE ni mipangilio tofauti, na utambulisho wa EAP ni wa tatu.

Anwani ya mbali huchagua pakiti zinaenda wapi, na utambulisho wa mbali husema upande wa pili lazima uthibitishe nini. Matarajio ya EAP huandikwa chini ya kitalu local, kwa sababu yanaelezea ubadilishanaji wa EAP wa mteja huyu na si tabia ya IKE ya upande wa pili. Ni mpangilio huu hasa unaosomwa vibaya. Jina liko katika usanidi wa mteja huku likielezea seva, na ndiyo sababu linaonekana kama limewekwa mahali pasipofaa.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Kipande hicho si muunganisho kamili; nyenzo za uaminifu, vitambulisho na sera za miunganisho ya watoto bado zinapaswa kuwepo. Kunakili kama ilivyo kwenye faili inayofanya kazi kutabadilisha mipangilio ambayo bado unaihitaji.

Kwa nini aaa_id inaishi chini ya local

Kitalu local kinaelezea upande huu unafanya nini wakati wa uthibitishaji, ikiwa ni pamoja na njia itakayotumia na utambulisho unaotarajia kutoka upande wa pili kwa njia hiyo. Hakuna kinachodai kuwa seva ya AAA inaendesha kwenye mashine hiyo hiyo.

Thamani chaguo-msingi inafanya mtego kuwa mkali zaidi. Wakati thamani bayana haijawekwa, utambulisho wa AAA unaotarajiwa hufuata utambulisho wa mbali, kwa hivyo usambazaji wa jina moja hufanya kazi na huficha tofauti. Thamani bayana ni muhimu tu wakati usambazaji wa EAP unamalizika mahali pengine kweli. Kuiweka kwa jina tofauti bila sababu hiyo huzalisha kosa ambalo mwendeshaji hawezi kulirudia. Soma usambazaji kabla ya kubuni jina la pili.

Weka thamani sawa na kile cheti cha sehemu ya nyuma kinachodai kweli, ikiwa ni pamoja na umbo la jina. Nukta ya mwisho au alama ya wildcard isiyoshughulikia mwenyeji inatosha kufanya ukaguzi ushindwe.

Vivinjari visivyoweza kueleza mgawanyiko

Wasifu wa NetworkManager si kiolesura kile kile cha usanidi kama swanctl. Programu-jalizi iliyo nyuma yake inaonyesha seti nyembamba ya vidhibiti vya utambulisho, na vipi vilivyopo hutegemea toleo lililosakinishwa.

Hilo ni muhimu wakati usambazaji unahitaji majina mawili kweli. Uwanja ulioandikwa kama utambulisho wa seva unaweza kusanidi tabaka moja na si lingine, kwa hivyo wasifu unaweza kuonekana sahihi na bado ushindwe ukaguzi wa ndani. Kagua programu-jalizi iliyosakinishwa inaunga mkono nini kabla ya kudhani wasifu unaweza kueleza mpangilio huo. Ikiwa haiwezi, chaguo ni la mwendeshaji: njia tofauti ya utoaji, au muundo uliosahihishwa wa utambulisho wa seva. Kudhoofisha PEAP au kukubali jina lolote hubadilisha sera ya uthibitishaji badala ya kuirekebisha.

Mbadala si kitu cha kubuni kwenye mteja. Omba mpangilio unaoungwa mkono kwa maandishi, kisha tunza jibu hilo pamoja na wasifu.

Tofautisha kutolingana kwa utambulisho na cheti kilichoisha muda

Kutolingana kwa jina na cheti kilichoisha muda ni kushindwa tofauti, na logi huwatofautisha. Soma ujumbe kabla ya kuamua uwanja upi wa kubadilisha.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Kuweka utambulisho wa AAA uliokusudiwa hakuongezi muda wa cheti wala hakuweki uaminifu kwa mtoaji wake, na kuongeza muda wa cheti hakurekebishi jina lililotarajiwa lisilo sahihi. Soma uthibitishaji upi ulioshindwa kabla ya kuhariri uwanja mwingine wa utambulisho. Kisha pakia upya usanidi na uthibitishe kuwa muunganisho uliopakiwa unaonyesha thamani uliyoweka, kwa sababu faili iliyohaririwa ambayo haikupakiwa kamwe haibadilishi chochote. Andika majina yote mawili na tabaka zao katika maelezo ya usambazaji.