strongSwan EAP: IKE அடையாளம் மற்றும் எதிர்பார்க்கப்படும் AAA பெயர்

strongSwan EAP வாடிக்கையாளர் இரண்டு சேவையகப் பெயர்களைச் சரிபார்க்கலாம். remote.id IKE நுழைவாயிலையும் local.aaa_id EAP சேவையகத்தையும் உள்ளடக்குகின்றன; இவை ஒரே புலம் அல்ல.

IKEv2 மீதான EAP அங்கீகாரம் ஒரே இணைப்பில் இரண்டு வெவ்வேறு சேவையகப் பெயர்களைச் சரிபார்க்க வாடிக்கையாளரைக் கேட்கலாம். IKE-ஐ முடிக்கும் நுழைவாயில் ஒரு அடையாளத்தை வழங்குகிறது, உள் TLS பரிமாற்றத்தை முடிக்கும் EAP பின்தளம் மற்றொன்றை வழங்கலாம். strongSwan-இல் இவை வெவ்வேறு உள்ளமைவுத் தொகுதிகளில் வாழ்கின்றன, தவறான தொகுதியில் பெயரை வைப்பது சான்றிதழ் சிக்கல் போலத் தோன்றும் தோல்வியை உருவாக்குகிறது. எந்தச் சரிபார்ப்பு தோல்வியடைந்தது என்பதைப் படிப்பதே எந்தத் தொகுதியைத் திருத்த வேண்டும் என்பதைக் கூறுகிறது.

ஒரு இணைப்பு, இரண்டு சேவையக அடையாளங்கள்

முதல் அடையாளம் IKE பரிமாற்றத்திற்கு உரியது. வாடிக்கையாளர் ஒரு முகவரியை அழைத்து, எதிர்த்தரப்பு ஒரு குறிப்பிட்ட அடையாளத்தை, பொதுவாக நுழைவாயில் சான்றிதழில் உள்ள பெயரை, நிரூபிக்கும் என்று எதிர்பார்க்கிறது.

இரண்டாவது EAP-க்கு உரியது. PEAP அல்லது TTLS-இல், வாடிக்கையாளர் IKE SA-க்குள் அங்கீகார சேவையகத்திற்கு TLS சுரங்கத்தை உருவாக்குகிறார், அந்த உள் சேவையகம் அதன் சொந்தச் சான்றிதழை வழங்குகிறது. பின்தளம் தனி புரவலனாக இருந்தால், அதன் பெயர் நுழைவாயிலின் பெயரிலிருந்து வேறுபடும். முதல் பெயரை மட்டும் சரிபார்க்கும் வாடிக்கையாளர் இரண்டாவது கூறுவதை ஏற்றுக்கொள்கிறது. இரு இடங்களிலும் ஒரே பெயரில் உள்ளமைக்கப்பட்ட வாடிக்கையாளர், அவை உண்மையில் வேறுபடும் தருணத்தில் தோல்வியடைகிறார்.

இரு பெயர்களும் இயக்குபவரின் உள்ளமைவிலிருந்து வருகின்றன, பிழையை நீக்கும் சான்றிதழிலிருந்து அல்ல. இயக்குபவரிடம் வரிசைப்படுத்தல் விவரங்களைக் கேட்பது இரண்டு புரவலன் பெயர்களை ஊகிப்பதை விட வேகமானது.

எந்தப் புலம் எந்த அடுக்குக்கு உரியது

swanctl-இல் முகவரியும் IKE அடையாளமும் தனித்தனி அமைப்புகள், EAP அடையாளம் மூன்றாவது.

தொலை முகவரி பொதிகளை எங்கு அனுப்புவது என்பதைத் தேர்ந்தெடுக்கிறது, தொலை அடையாளம் எதிர்த்தரப்பு எதை நிரூபிக்க வேண்டும் என்பதைக் கூறுகிறது. EAP எதிர்பார்ப்பு local தொகுதியின் கீழ் எழுதப்படுகிறது, ஏனெனில் அது எதிர்த்தரப்பின் IKE நடத்தையை அல்ல, இந்த வாடிக்கையாளரின் EAP பரிமாற்றத்தை விவரிக்கிறது. இந்த இடத்தைத்தான் மக்கள் தவறாகப் படிக்கிறார்கள். பெயர் சேவையகத்தை விவரிக்கும்போது வாடிக்கையாளரின் உள்ளமைவில் நிற்கிறது, அதனால்தான் அது தவறான இடத்தில் இருப்பது போல் தெரிகிறது.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

இந்தத் துண்டு முழுமையான இணைப்பு அல்ல; நம்பிக்கைப் பொருள், சான்றுகள், குழந்தை இணைப்புகளின் கொள்கைகள் இன்னும் இருக்க வேண்டும். இதை அப்படியே வேலை செய்யும் கோப்பில் நகலெடுத்தால் இன்னும் தேவைப்படும் அமைப்புகள் மாற்றப்படும்.

aaa_id local-க்கு கீழ் வாழ்வது ஏன்

அங்கீகாரத்தின் போது இந்தப் பக்கம் என்ன செய்கிறது என்பதை local தொகுதி விவரிக்கிறது, அது பயன்படுத்தும் முறையும் அந்த முறைக்கு மறுபக்கத்திலிருந்து எதிர்பார்க்கும் அடையாளமும் உட்பட. அதில் AAA சேவையகம் அதே இயந்திரத்தில் இயங்குவதாக எதுவும் கூறவில்லை.

இயல்புநிலை மதிப்பு பொறியைக் கூர்மையாக்குகிறது. வெளிப்படையான மதிப்பு அமைக்கப்படாவிட்டால், எதிர்பார்க்கப்படும் AAA அடையாளம் தொலை அடையாளத்தைப் பின்பற்றுகிறது, எனவே ஒரு பெயர் வரிசைப்படுத்தல் வேலை செய்கிறது, வேறுபாட்டை மறைக்கிறது. EAP வரிசைப்படுத்தல் உண்மையில் வேறெங்கோ முடிவடையும் போது மட்டுமே வெளிப்படையான மதிப்பு முக்கியம். அந்தக் காரணமின்றி அதை வேறு பெயருக்கு அமைப்பது இயக்குபவர் மீண்டும் உருவாக்க முடியாத தோல்வியை உருவாக்குகிறது. இரண்டாவது பெயரைக் கண்டுபிடிக்கும் முன் வரிசைப்படுத்தலைப் படியுங்கள்.

பின்தள சான்றிதழ் உண்மையில் கூறுவதற்கு, பெயரின் வடிவம் உட்பட, மதிப்பை ஒரே மாதிரியாக வைத்திருங்கள். இறுதியில் ஒரு புள்ளி அல்லது புரவலனை உள்ளடக்காத வைல்ட்கார்டு சரிபார்ப்பு தோல்வியடைய போதுமானது.

பிரிவை வெளிப்படுத்த முடியாத முன்தளங்கள்

NetworkManager சுயவிவரம் swanctl போன்ற அதே உள்ளமைவு இடைமுகம் அல்ல. அதன் பின்னால் உள்ள செருகுநிரல் குறுகிய அடையாளக் கட்டுப்பாடுகளை வழங்குகிறது, எவை உள்ளன என்பது நிறுவப்பட்ட பதிப்பைப் பொறுத்தது.

வரிசைப்படுத்தலுக்கு உண்மையில் இரண்டு பெயர்கள் தேவைப்படும் போது இது முக்கியம். சேவையக அடையாளம் என லேபிளிடப்பட்ட புலம் ஒரு அடுக்கை உள்ளமைக்கலாம், மற்றதை அல்ல, எனவே சுயவிவரம் சரியாகத் தெரிந்தும் உள் சரிபார்ப்பில் தோல்வியடையலாம். சுயவிவரம் இந்த ஏற்பாட்டை வெளிப்படுத்த முடியும் என்று கருதும் முன் நிறுவப்பட்ட செருகுநிரல் எதை ஆதரிக்கிறது என்பதைச் சரிபார்க்கவும். முடியாவிட்டால், தேர்வு இயக்குபவருக்கு உரியது: வேறு வழங்கல் பாதை, அல்லது திருத்தப்பட்ட சேவையக அடையாள வடிவமைப்பு. PEAP-ஐ பலவீனப்படுத்துவது அல்லது எந்தப் பெயரையும் ஏற்பது அங்கீகாரக் கொள்கையைத் திருத்துவதற்குப் பதிலாக மாற்றுகிறது.

மாற்று வழி வாடிக்கையாளரில் கண்டுபிடிக்க வேண்டிய ஒன்று அல்ல. ஆதரிக்கப்படும் ஏற்பாட்டை எழுத்துப்பூர்வமாகக் கேளுங்கள், பின்னர் அந்தப் பதிலைச் சுயவிவரத்துடன் வைத்திருங்கள்.

அடையாளப் பொருந்தாமையைக் காலாவதியான சான்றிதழிலிருந்து வேறுபடுத்துங்கள்

பெயர்ப் பொருந்தாமையும் காலாவதியான சான்றிதழும் வெவ்வேறு தோல்விகள், பதிவு அவற்றை வேறுபடுத்துகிறது. எந்தப் புலத்தை மாற்றுவது என முடிவெடுக்கும் முன் செய்தியைப் படியுங்கள்.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

உத்தேசிக்கப்பட்ட AAA அடையாளத்தை அமைப்பது சான்றிதழைப் புதுப்பிக்காது, அதன் வழங்குநர் மீது நம்பிக்கையையும் நிறுவாது, சான்றிதழைப் புதுப்பிப்பது தவறான எதிர்பார்க்கப்பட்ட பெயரையும் திருத்தாது. மற்றொரு அடையாளப் புலத்தைத் திருத்தும் முன் எந்தச் சரிபார்ப்பு தோல்வியடைந்தது என்பதைப் படியுங்கள். பின்னர் உள்ளமைவை மீண்டும் ஏற்றி, ஏற்றப்பட்ட இணைப்பு நீங்கள் அமைத்த மதிப்பைக் காட்டுகிறதா என்பதை உறுதிப்படுத்துங்கள், ஏனெனில் ஒருபோதும் ஏற்றப்படாத திருத்தப்பட்ட கோப்பு எதையும் மாற்றாது. இரு பெயர்களையும் அவற்றின் அடுக்குகளையும் வரிசைப்படுத்தல் குறிப்புகளில் எழுதுங்கள்.

தொடர்புடைய கட்டுரைகள்