iPhone IKEv2 முதல் RouterOS வரை: எந்த அடையாளம் எங்கே செல்கிறது
iOS இல் IKEv2 சுரங்கத்தை நான்கு தனித்தனி கூற்றுகள் தீர்மானிக்கின்றன: அழைக்கப்படும் முகவரி, எதிர்பார்க்கப்படும் சேவையக அடையாளம், கூறப்படும் வாடிக்கையாளர் அடையாளம் மற்றும் சான்றிதழ்ப் பொருள்.
MikroTik நுழைவாயிலை அடைவது IKEv2 பயன்பாட்டின் போக்குவரத்துப் பாதியை மட்டுமே தீர்க்கிறது, வேறொன்றும் இல்லை. அதன் பிறகு நான்கு தனித்தனி கூற்றுகள் சுரங்கம் உருவாகுமா என்பதைத் தீர்மானிக்கின்றன: தொலைபேசி அழைக்கும் முகவரி, அது எதிர்பார்க்கும் சேவையக அடையாளம், தனக்காக அது கூறும் அடையாளம், அந்தக் கூற்றைத் தாங்கும் சான்றிதழ்ப் பொருள். அவற்றை அதே வரிசையில் சரிபார்க்கவும், நுழைவாயில் வழங்குவதுடன் பொருந்தாத முதல் ஒன்றில் நிற்கவும். ஒவ்வொன்றும் வெவ்வேறு இடத்தில் திருத்தப்படுகிறது, அதனால் தவறான திருத்தம் பொதுவாக பிழையைச் சரிசெய்வதற்குப் பதிலாக நகர்த்துகிறது.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
பரிமாற்றம் பயன்படுத்தும் வரிசையிலேயே சுயவிவரப் புலங்களைச் சரிபார்க்கவும்
தொலை முகவரி முதல் IKE பொதியின் இலக்கு மட்டுமே. தொலை அடையாளங்காட்டி என்பது நுழைவாயில் தன்னை அதுவாக நிரூபிக்கும் எனத் தொலைபேசி எதிர்பார்ப்பது, அது பெயர், பாதை அல்ல. இரண்டையும் ஒரே புரவலன் பெயரால் நிரப்புவது நுழைவாயிலின் சான்றிதழில் அந்தப் பெயர் இருந்தால் வேலை செய்யும், இல்லாவிட்டால் வழியமைப்பு சிக்கல் போலத் தோன்றும் வகையில் தோல்வியடையும். சுயவிவரத்தை நிரப்ப வேண்டிய புலங்களின் பட்டியலாக அல்ல, கூற்றுகளின் தொடர்ச்சியாகப் படிக்கவும்.
உள்ளூர் அடையாளங்காட்டி தொலைபேசியின் சொந்தக் கூற்று, மேலும் தொலைபேசி வழங்கும் வாடிக்கையாளர் சான்றிதழுக்கு RouterOS அடையாளப் பதிவு ஏற்கும் பெயராக இருக்க வேண்டும். இரண்டும் பொருந்தாவிட்டால், சான்றிதழ் தானே சரிபார்க்கப்பட்ட பிறகு நுழைவாயில் இணைப்பை மறுக்கும், பதிவு பெயரிடல் சிக்கலாக அல்ல, அனுமதி சிக்கலாகத் தெரியும்.
அடையாளங்காட்டிகளை நுழைவாயில் வழங்குவதற்கு எதிராகச் சரிபார்க்கவும்
சான்றிதழ் அங்கீகாரத்திற்கு அமைக்கப்பட்ட RouterOS சகப் பதிவு தன் சான்றிதழை வழங்குகிறது, வேறுவிதமாக அமைக்காவிட்டால் அதன் அடையாளம் அந்தச் சான்றிதழிலிருந்தே எடுக்கப்படும். தொலைபேசியின் தொலை அடையாளங்காட்டி நுழைவாயிலின் DNS பெயரைக் குறிப்பிட்டால், நுழைவாயிலின் சான்றிதழுக்கு அந்தப் பெயர் தொலைபேசி ஏற்கும் இடத்தில், பொதுவாக உட்பொருளின் மாற்றுப் பெயரில் தேவை. வேறு பொது பெயருக்கு வழங்கப்பட்ட சான்றிதழ் விசையும் சங்கிலியும் சரியாக இருந்தாலும் சரிபார்க்கப்படாது.
நிர்வகிக்கப்படும் Apple சுயவிவரங்கள் அடையாளப் புலங்களுக்குக் கூடுதலாக மதிப்பிடப்படும் சான்றிதழ்-பெயர் கட்டுப்பாட்டையும் கொண்டிருக்கலாம். அமைப்புகள் திரை காட்டுவதிலிருந்து சரிபார்ப்புப் பெயரை ஊகிக்காமல் உள்ளடக்கத்தை ஆய்வு செய்யவும், ஏனெனில் இரண்டும் ஒரே அமைப்பு அல்ல.
வாடிக்கையாளர் சான்றிதழ் ஒரு விசை, வெறும் நம்பிக்கை நங்கூரம் அல்ல எனச் சரிபார்க்கவும்
CA சான்றிதழை இறக்குமதி செய்வது நுழைவாயிலைச் சரிபார்க்க தொலைபேசிக்கு ஒன்றைத் தருகிறது. அது தொலைபேசிக்கு வாடிக்கையாளர் அடையாளத்தைத் தராது, சான்றிதழ் அங்கீகாரத்திற்கு வாடிக்கையாளர் இலைச் சான்றிதழும் அதன் தனிப்பட்ட விசையும் அங்கீகரிக்கப்பட்ட பதிவுப் பாதை வழியாக ஒன்றாகக் கொண்டு வரப்பட வேண்டும். தனிப்பட்ட விசை இல்லாமல் உருவாக்கப்பட்ட PKCS#12 சுத்தமாக நிறுவப்படும் ஆனால் எதையும் அங்கீகரிக்காத சுயவிவரத்தை உருவாக்கும்.
வாடிக்கையாளர் இலைக்கு RouterOS பக்கம் எதிர்பார்க்கும் அடையாளமும் தேவை, அதாவது உட்பொருள் அல்லது உட்பொருளின் மாற்றுப் பெயர் தொடர்புடைய அடையாள அமைப்புடன் பொருந்த வேண்டும். ஒரே CA இல் இருந்து வாடிக்கையாளர் மற்றும் சேவையகச் சான்றிதழ்களை வழங்குவது சங்கிலியை வசதியாக்குகிறது, இரு இலைகளையும் பரிமாற்றக்கூடியதாக ஆக்காது.
RouterOS கொள்கை அந்தப் பெயரை ஏற்கிறதா எனச் சரிபார்க்கவும்
நுழைவாயிலில் சகப் பதிவு பரிமாற்ற முறையையும் அங்கீகார முறையையும் அமைக்கிறது, அடையாளப் பதிவு ஏற்கப்பட்ட தொலை அடையாளத்தை ஒரு சான்றிதழுடனும் அதைத் தொடரும் கொள்கையுடனும் இணைக்கிறது. RouterOS v7 இல் இந்த இணை IPsec சக மற்றும் அடையாளப் பதிவுகள் வழியாக வெளிப்படுத்தப்படுகிறது, எடுத்துக்காட்டாக auth-method=digital-signature கொண்ட IKEv2 சகன். பழைய பதிப்புக்கு எழுதப்பட்ட வழிகாட்டியை அல்ல, நீங்கள் நிறுவிய பதிப்பின் உண்மையான பட்டி உள்ளடக்கத்தைச் சரிபார்க்கவும்.
இங்கேயே பொருந்தாமையைச் சரிசெய்வது மலிவானது, ஏனெனில் நுழைவாயில் பெற்ற அடையாளத்தையும் விரும்பிய அடையாளத்தையும் உங்களுக்குச் சொல்ல முடியும். பிழையை அமைதிப்படுத்த ஏற்கப்படும் அடையாளத்தை விரிவுபடுத்துவது பயன்பாட்டிற்கு அர்த்தம் தந்த பிணைப்பை நீக்குகிறது.
எதையும் திருத்தும் முன் எந்த நிலை தோல்வியடைந்தது எனச் சரிபார்க்கவும்
இரு முனைகளிலும் முயற்சியைப் படித்து, முன்மொழிவை மாற்றும் முன் அதை வகைப்படுத்தவும். முன்மொழிவு பொருந்தாமை, காணாமல் போன கையொப்ப விசை, நம்பமுடியாத வழங்குநர், தவறான சக அடையாளங்காட்டி மற்றும் நிராகரிக்கப்பட்ட வாடிக்கையாளர் அனுமதி அனைத்தும் தொலைபேசியிலிருந்து இறந்த சுரங்கம் போலவே தெரிகின்றன, ஒவ்வொன்றுக்கும் வேறு உரிமையாளர் உள்ளார். ஐந்து அமைப்புகளையும் ஒரே நேரத்தில் மாற்றுவது முடிவிலிருந்து எதையும் கற்கமாட்டீர்கள் என்பதை உறுதி செய்கிறது.
வழங்கப்பட்ட அடையாளம், எதிர்பார்க்கப்பட்ட அடையாளம், சான்றிதழின் வழங்குநர் மற்றும் வரிசை எண், தொடர்புடைய கொள்கையின் பெயர் ஆகியவற்றைப் பதிவு செய்யவும், தனிப்பட்ட விசைகளையும் சுயவிவர இரகசியங்களையும் அந்தப் பதிவுக்கு வெளியே வைக்கவும். அங்கீகாரம் வெற்றிபெற்றதும், தனியார் சேவையையும் அதன் பதிலையும் சோதிக்கவும், ஏனெனில் IKE பரிமாற்றம் முடிந்த பிறகும் முகவரி ஒதுக்கீடு, தேர்விகள், DNS மற்றும் அணுகல் கொள்கை செயல்பட வேண்டும்.