ஒரு IKEv2 உள்நுழைவில் இரண்டு அடையாளங்கள்: இயந்திரம், பின்னர் பயனர்

கிளையண்ட் சான்றிதழ் சரிபார்க்கப்படுகிறது, முதல் பரிமாற்றம் நிறைவடைகிறது, பிறகு கூடுதல் அங்கீகாரச் சுற்று பற்றிய பிழையுடன் இணைப்பு நிற்கிறது. சான்றிதழ்ச் சங்கிலியில் எதுவும் தவறில்லை, பிணையத்தில் எதுவும் மாறவில்லை. இணைக்கும் பக்கத்திலிருந்து இரண்டாவது ஆதாரத்தைக் கோர கேட்வே அமைக்கப்பட்டுள்ளது, கிளையண்ட் அதை ஒருபோதும் அனுப்புவதில்லை. யார் என்ன நிரூபிக்கிறார், எந்த வரிசையில் என்பதை முடிவு செய்வதே முழுப் பணி, அது நீங்கள் நிற்கும் முனையிலிருந்து கொள்கையைப் படிப்பதில் தொடங்குகிறது. வெவ்வேறு வகையான இரண்டு ஆதாரங்கள், ஒரு நிலையான வரிசையில், ஒரு வடிவமைப்பு முடிவு, ஒரு தேர்வுப்பெட்டி அல்ல.

அறிகுறி: வெற்றிகரமான முதல் ஆதாரத்திற்குப் பிறகு தோல்வி

முதல் பரிமாற்றம் நிறைவடைகிறது, பதிவு ஆரோக்கியமாகத் தெரிகிறது, கேட்வே EAP வழியாகப் பயனர் அடையாளத்தைக் கேட்கும் வரை. பின்னர் கைக்குலுக்கல் நிற்கிறது அல்லது கூடுதல் சுற்றைக் குறிக்கும் நெறிமுறை பிழையைத் திருப்பித் தருகிறது. முற்றிலும் செல்லுபடியாகும் இயந்திரச் சான்றிதழ், அதன் செல்லுபடியாகும் தன்மைக்குத் தொடர்பில்லாத காரணத்தால் நிராகரிக்கப்படுகிறது. கொள்கை இரண்டாவது ஆதாரத்தைக் கேட்டது, கிளையண்டின் பதில் ஒருபோதும் வரவில்லை.

அந்தத் தோல்வியின் இரு விவரணைகளும் நீங்கள் எங்கு நிற்கிறீர்கள் என்பதைப் பொறுத்து சரியானவை. கிளையண்ட் பக்கத்திலிருந்து அது செல்லுபடியாகும் சான்றிதழை நிராகரிக்கும் சேவையகமாகத் தெரிகிறது, சேவையகப் பக்கத்திலிருந்து உள்நுழைவை முடிக்க முடியாத கிளையண்டாகத் தெரிகிறது. ஒரே நிகழ்வு ஒரு பதிவில் நம்பிக்கைப் பிரச்சினையாகவும் மற்றொன்றில் திறன் பிரச்சினையாகவும் படிக்கப்படுகிறது. அமைக்கப்பட்ட கொள்கை மட்டுமே எது என்பதைச் சொல்கிறது.

நீட்டிப்பு எதைச் சேர்க்கிறது, எதைச் சேர்க்கவில்லை

IKEv2 ஒரே அமர்வுக்குள் ஒன்றுக்கு மேற்பட்ட அங்கீகாரப் பரிமாற்றங்களை இயக்க ஒரு நீட்டிப்பைக் கொண்டுள்ளது. RFC 4739, பிற வரிசைகளுடன், ஒரு கிளையண்ட் சான்றிதழ் அடையாளத்தை நிரூபித்து பின்னர் EAP வழியாக ஒரு நபரை அங்கீகரிப்பதை வரைகிறது. ஆவணம் சோதனை நிலையில் உள்ளது, அதாவது எந்தச் செயலாக்கமும் அந்த அம்சத்தை உங்களுக்குக் கடன்பட்டதில்லை. சக முனை அதைப் பேச்சுவார்த்தை செய்யும் வரை ஆதரவைப் பற்றி எதையும் அனுமானிக்க வேண்டாம்.

இரு தரப்பும் நீட்டிப்பை ஆதரிக்க வேண்டும், பரிமாற்றத்தின் போது அதற்கு ஒப்புக்கொள்ள வேண்டும். இரண்டாவது சுற்றுக்கு அமைக்கப்பட்ட கேட்வே ஒரு கிளையண்டை அதைச் செய்ய வற்புறுத்த முடியாது, அதை ஆதரிக்கும் கிளையண்ட் சேவையகம் கேட்காவிட்டால் அதைப் பயன்படுத்தாது. அந்தச் சமச்சீரற்ற தன்மையே தோல்வி பொதுவாக திறன் பற்றிய தெளிவான அறிக்கைக்குப் பதிலாக நேரம் முடிவு அல்லது நெறிமுறை பிழையாக வெளிப்படுவதற்குக் காரணம். ஒரு பக்கத்தின் கட்டமைப்பைப் படிப்பது என்ன நடக்கும் என்பதில் பாதியைச் சொல்கிறது.

ஒரு முனைக்கு ஒரு ஆதாரம் என்பது சாதாரண வடிவம், அது இந்த வடிவமைப்பு அல்ல. கேட்வே தன் சான்றிதழை வழங்குகிறது, பயனர் EAP-க்குப் பதிலளிக்கிறார், ஒவ்வொரு பக்கமும் மற்றதைச் சரியாக ஒருமுறை அங்கீகரித்துள்ளது. அந்த இரண்டு ஆதாரங்களும் எதிரெதிர் முனைகளிலிருந்து வருகின்றன, எனவே எதுவும் இயந்திரத்தையும் அதைப் பயன்படுத்தும் நபரையும் பற்றித் தனியாக எதுவும் சொல்லவில்லை.

EAP-TLS மூன்றாவது வடிவம், அதுவும் இதுவல்ல. அங்கு கிளையண்ட் சான்றிதழ் EAP முறைக்குள் வழங்கப்படுகிறது, எனவே கிளையண்ட் இன்னும் ஒரே IKE அங்கீகாரத்தை முடிக்கிறது. சான்றுகள் பல சுற்று நிலையைப் போலவே தோன்றலாம், ஆனால் நெறிமுறை இரண்டுக்குப் பதிலாக ஒரு சுற்றைக் கொண்டுள்ளது. அதனால்தான் EAP-TLS பயன்பாட்டிலிருந்து நகலெடுக்கப்பட்ட வடிவமைப்பு இரண்டாவது ஆதாரம் எதிர்பார்க்கப்படும் இடத்தில் தோல்வியடைகிறது.

அதே கோப்பு கேட்வேயில் வேறுவிதமாகப் படிக்கப்படுகிறது

அதே swanctl கோப்பு எங்கு இயங்குகிறது என்பதைப் பொறுத்து வேறுவிதமாகப் படிக்கப்படுகிறது, அதுதான் மக்களைக் குழப்பும் பகுதி. மடிக்கணினியில் கேட்வே சக முனை, கேட்வேயில் மடிக்கணினி அது, எனவே local பக்கத்தை நான் யார் என்றும் remote பக்கத்தை நான் யாரை ஏற்றுக்கொள்வேன் என்றும் எழுதுங்கள். local தொகுதி இந்த முனை தன்னை எப்படி அங்கீகரிக்கிறது என்பதை விவரிக்கிறது, remote தொகுதி மறுமுனையிலிருந்து என்ன கோருகிறது என்பதைக் கூறுகிறது. இரு கோப்புகளுக்கும் இடையே ஒரு தொகுதியை நகலெடுப்பது ஒரு எழுத்தையும் மாற்றாமல் அதன் பொருளைத் தலைகீழாக மாற்றுகிறது. இரு கோப்புகளையும் ஒப்பிடுவது கிட்டத்தட்ட எதையும் சொல்லாது, ஏனெனில் ஒரே சொற்கள் ஒவ்வொன்றிலும் எதிர் பொருளைத் தருகின்றன.

ஒரு பிரிவின் நிலை அதன் வரிசையை நிர்ணயிக்கிறது, ஒரு சுற்று எண் அதை மேலெழுதாவிட்டால். கூடுதல் local அல்லது remote பிரிவுகள் எனவே மாற்றுகளுக்குப் பதிலாக கூடுதல் சுற்றுகளை விவரிக்கின்றன, மேலும் swanctl.conf குறிப்பில் உள்ள வெளிப்படையான சுற்று எண் அந்த வரிசையை வேண்டுமென்றே ஆக்கவே உள்ளது. அது இல்லாமல், ஒரு தொகுதியை நகர்த்துவது நடத்தையை மாற்றுகிறது. அதனால்தான் காகிதத்தில் சமமாகத் தெரியும் இரண்டு கட்டமைப்புகள் எதிர் வரிசையில் நடந்துகொள்ள முடியும்.

அந்த வரிசை விதி நினைவில் கொள்ள வேண்டிய தோல்வி முறையை உருவாக்குகிறது. இரண்டாவது remote தொகுதி மற்றொரு ஏற்கத்தக்க விருப்பம் அல்ல; அது இரண்டாவது கோரிக்கை, அதனால்தான் இது/அது என்று படிக்கப்படும் கொள்கை மேலும்-பின்னர் என்று நடந்துகொள்கிறது. ஒரு கேட்வே கொள்கை பதிவுசெய்யப்பட்ட இயந்திரத்தின் சான்றிதழை ஏற்று, பின்னர் அந்தப் பயனரின் EAP பரிமாற்றத்தை அதே வரிசையில் கோரலாம்.

சுற்றுகளையும் சுயாதீன காரணிகளையும் வேறுபடுத்துங்கள்

இரண்டு சுற்றுகள் தானாக இரண்டு சுயாதீன காரணிகள் அல்ல. ஒரு ஆதாரத்தை மீண்டும் செய்வது, அல்லது ஒரே சேமிப்பகத்தில் இரண்டு சான்றுகளை வைத்திருப்பது, வடிவமைப்பு சேர்க்க வேண்டிய வலிமையைத் தராது. சுயாதீனம் என்பது ரகசியங்கள் எப்படி வைக்கப்படுகின்றன, எது அவற்றைச் சமரசம் செய்கிறது என்பதன் பண்பு, நெறிமுறை எத்தனை பரிமாற்றங்களை இயக்குகிறது என்பதன் பண்பு அல்ல. சுற்றுகளைக் காரணிகளாக எண்ணும் வடிவமைப்பு தன்னிடம் இருப்பதை மிகைப்படுத்துகிறது. இந்த வேறுபாடு, உள்நுழைவு உண்மையில் எத்தனை காரணிகளைப் பயன்படுத்துகிறது என்று இணக்கக் கேள்வி கேட்கும்போது மிக முக்கியமானது.

இயந்திரச் சான்றிதழ் அதன் ஏற்கப்பட்ட விசையின் உடைமையை நிரூபிக்கிறது, அவ்வளவே. இது வன்பொருள் உறுதிப்படுத்தல் அல்ல, சாதன ஆரோக்கிய அறிக்கையும் அல்ல, எனவே நிலைத் தகவல் தேவைப்படும் கொள்கைக்கு வேறு ஒரு பொறிமுறை தேவை. subject புலமும் நீங்கள் நம்பக்கூடிய சரக்குக் குறியீடு அல்ல, ஏனெனில் subject-ஐ சான்றிதழை வழங்கியவர் அல்லது பதிவுசெய்தவர் தேர்ந்தெடுக்கிறார். இயந்திரம் ஆரோக்கியமாக இருக்கிறது என்பதற்கு ஆதாரம் தேவைப்பட்டால், அந்த ஆதாரம் இயந்திரத்தை அளக்கும் ஒரு கூறுகையிலிருந்து வர வேண்டும்.

ஒவ்வொரு சுற்றும் உண்மையில் என்ன நிரூபிக்கிறது என்பதைச் சேர்ப்பதற்கு முன் எழுதுங்கள். இரண்டு சுற்றுகள் ஒரே விஷயத்தை இரண்டு முறை நிரூபிக்கும்போது, இரண்டாவது உறுதிப்பாட்டிற்குப் பதிலாக தாமதத்தையும் ஆதரவு டிக்கெட்டுகளையும் சேர்க்கிறது. அந்தக் குறிப்பே கூடுதல் சுற்று அதன் செலவுக்கு மதிப்புள்ளதா என்ற வாதத்தை நிறுத்துகிறது.

இணைப்பு விதியை எழுதி மறுப்புகளைச் சோதியுங்கள்

எந்த இயந்திர அடையாளங்கள் எந்த மனிதர்களுடன் இணையலாம் என்பதை முடிவு செய்து, அமலாக்கம் இருக்கும் இடத்தில் விதியை எழுதுங்கள். இரண்டு செல்லுபடியாகும் சான்றுகள் பக்கத்திற்குப் பக்கம் இருப்பது இணைப்பைப் பற்றி எதையும் நிரூபிக்காது, ஏனெனில் இணைப்பு என்பது அனுமதி முடிவே தவிர அங்கீகார முடிவு அல்ல. பதிவு ஆவணங்கள் அல்லது அங்கீகார பின்தளம் நிறுவனம் விரும்பும் உறவை அமல்படுத்த வேண்டும்.

பிறகு தோல்வியடைய வேண்டியதைச் சோதியுங்கள்: அனுமதிக்கப்படாத இயந்திரத்தில் ஏற்கப்பட்ட பயனர், இயந்திரச் சான்றை வைத்திருக்கும் அனுமதிக்கப்படாத பயனர், கூடுதல் சுற்றைச் செய்ய முடியாத சக முனை. மூன்றும் அமைதியாக ஒரே அணுகலைப் பெற்றால், கொள்கை அமல்படுத்துவதற்குப் பதிலாக ஒரு நோக்கத்தை விவரிக்கிறது. அறிவிக்கப்பட்ட கட்டமைப்பை டீமன் தெரிவிப்பதுடன் ஒப்பிடுங்கள், ஏனெனில் ஒருபோதும் பொருந்தாத இணைப்பு கடந்து சென்ற விதியைப் போலவே தெரிகிறது:

swanctl --list-conns
swanctl --list-sas

பேச்சுவார்த்தை செய்யப்பட்ட சுற்றுகளையும் அதன் விளைவான அனுமதியையும் சரிபாருங்கள், வெற்றிகரமான உள்நுழைவை மட்டுமல்ல. மேலும் பழைய IKEv1 XAuth அமைப்புகளைக் குறுக்குவழியாகப் பயன்படுத்த வேண்டாம்: இணைப்பு வெற்றிபெறும் வரை தேவையான சுற்றை நீக்குவதற்குப் பதிலாக நெறிமுறை, பாத்திரங்கள், வரிசை மற்றும் கிளையண்டின் உண்மையான நடத்தையைப் பொருத்துங்கள். தோல்வியடையும் சுற்றை நீக்குவதே இரண்டு ஆதார வடிவமைப்பு யாரும் மதிப்பாய்வு செய்யாத ஒரு ஆதார வடிவமைப்பாக அமைதியாக மாறும் வழி. நீக்குதலை மாற்றப் பதிவில் வைத்திருங்கள்.