IKEv2 సర్వర్ చిరునామా vs గుర్తింపు: క్లయింట్ వాస్తవానికి ఏమి తనిఖీ చేస్తుంది

చిరునామాను మార్చే గేట్వే పని చేస్తూనే ఉంటుంది, అయితే కొత్త సర్టిఫికేట్ వెనుక ఉన్న అదే గేట్వే ఆగిపోతుంది మరియు రివర్స్ కూడా జరుగుతుంది. ప్యాకెట్లను ఎక్కడ పంపాలో చిరునామా క్లయింట్కు చెబుతుంది; ప్రామాణీకరించబడిన గుర్తింపు క్లయింట్కు సమాధానమిచ్చే పీర్నే విశ్వసించాలా అని చెబుతుంది. IKEv2 వాటిని రెండు వేర్వేరు ఫీల్డ్లుగా ఉంచుతుంది, మీరు వాటిని ఒక స్ట్రింగ్గా పరిగణించడం ఆపివేసిన తర్వాత ఇది ఉపయోగపడుతుంది. అవి వేర్వేరు ప్రదేశాలలో కూడా కాన్ఫిగర్ చేయబడ్డాయి, కాబట్టి ఒకటి సరైనది అయితే మరొకటి తప్పు.

ఈ క్రమంలో వాటిని తనిఖీ చేయండి మరియు మొదటి అసమతుల్యత వద్ద ఆపివేయండి, ఎందుకంటే తదుపరి తనిఖీలు ముందుగా ఆమోదించబడినవిగా భావించబడతాయి.

మొదట, ఏ విలువ చిరునామా

క్లయింట్ డయల్ చేసినా కనెక్షన్ చిరునామా ఉంటుంది: ఒక IP, ఒక DNS పేరు ఒకదానికి పరిష్కరించబడుతుంది లేదా లోడ్-సమతుల్య ఫ్రంట్ ఎండ్. అది రవాణా సమాచారం మరియు మరేమీ లేదు. గుర్తింపు IKEv2 ID పేలోడ్లో ప్రయాణించి, పీర్ సర్టిఫికెట్తో సరిపోలుతుంది. అడ్రస్ బాక్స్లోని DNS పేరు ఆశించిన గుర్తింపుగా మారదు మరియు సాకెట్ దానికి కనెక్ట్ చేయబడినందున ముడి IP గుర్తింపుగా మారదు.

strongSwan నిబంధనలలో, చిరునామా right లేదా left, మరియు ఊహించిన గుర్తింపు rightid లేదా leftid, మరియు అది IKEv2 కాన్ఫిగరేషన్ డాక్యుమెంటేషన్ వివరిస్తుంది. మీరు ఎప్పుడైనా చిరునామాను మాత్రమే సవరించినట్లయితే, మీరు జతలో సగం కాన్ఫిగర్ చేసారు.

రెండవది, సర్టిఫికేట్ ఏమి నిరూపించగలదు

గుర్తింపు ఒక రకాన్ని కలిగి ఉంది మరియు సర్టిఫికెట్లో సరిపోలే పేరు ఉండాలి. సబ్జెక్ట్ ప్రత్యామ్నాయ పేరు పొడిగింపులో dNSName నమోదు ద్వారా DNS గుర్తింపు సంతృప్తి చెందుతుంది; IP గుర్తింపుకు iPAddress నమోదు అవసరం. vpn.example.com కోసం జారీ చేయబడిన సర్టిఫికేట్ సాహిత్య చిరునామా 203.0.113.10 గురించి ఏమీ రుజువు చేయలేదు మరియు ఆ చిరునామా కోసం జారీ చేయబడినది పేరు గురించి ఏమీ రుజువు చేయలేదు. అదే కీ మరియు CAని మళ్లీ ఉపయోగించినప్పటికీ, వేరే పేరు కోసం మళ్లీ విడుదల చేయడం డ్రాప్-ఇన్ రీప్లేస్మెంట్ కాదు.

సబ్జెక్ట్ ప్రత్యామ్నాయ పేరు ఉన్నప్పుడు ఆధునిక క్లయింట్లు సాధారణ పేరును విస్మరిస్తారు మరియు చాలామంది దానిని పూర్తిగా విస్మరిస్తారు. SAN జాబితా క్లయింట్ తనిఖీ చేసే విలువను కలిగి లేకుంటే, ధృవీకరణ పత్రం ఇప్పటికే విశ్వసనీయమైనదిగా ఆమోదించబడిన తర్వాత హ్యాండ్షేక్ విఫలమవుతుంది, అందుకే లాగ్ విశ్వసనీయ లోపంగా కాకుండా గుర్తింపు లోపం వలె చదవబడుతుంది.

మూడవది, ప్రతి క్లయింట్ నిరీక్షణను ఎలా పేర్కొంటుంది

Windows మీరు టైప్ చేసిన సర్వర్ పేరు లేదా చిరునామాను తీసుకుంటుంది మరియు దానికి సరిపోలడానికి సర్టిఫికేట్ అవసరం, కాబట్టి IPని టైప్ చేయడం IP నిరీక్షణను సృష్టిస్తుంది. Android యొక్క IKEv2 క్లయింట్ అదే విధంగా ప్రవర్తిస్తుంది మరియు ఇద్దరూ వేరే హోస్ట్కు పేరు పెట్టే చెల్లుబాటు అయ్యే, పబ్లిక్గా విశ్వసనీయ ప్రమాణపత్రాన్ని తిరస్కరించారు. మైగ్రేషన్ సమయంలో ఎవరైనా హోస్ట్ పేరుని దాని చిరునామాతో భర్తీ చేసినందున ప్రొఫైల్ విఫలమవ్వడం ప్రారంభించవచ్చు. మీరు సర్టిఫికేట్లో ఏమి ఉందో చూసే ముందు క్లయింట్ ఏమి అడిగారో చూడండి.

strongSwanలో నిరీక్షణ స్పష్టంగా ఉంది: సర్వర్ వాస్తవంగా అందించే గుర్తింపుకు rightid సెట్ చేయండి, ఇది కుడికి భిన్నంగా ఉండవచ్చు. దీన్ని %anyకి సెట్ చేయడం వలన పీర్ ఆఫర్లను అంగీకరిస్తుంది మరియు మీరు ఉంచడానికి ప్రయత్నిస్తున్న చెక్ను ఖచ్చితంగా తీసివేస్తుంది.

నాల్గవది, పీర్ గుర్తింపు నుండి వినియోగదారు లాగిన్ను వేరు చేయండి

EAP ప్రామాణీకరణ మరియు సర్వర్ గుర్తింపు విభిన్న ప్రశ్నలకు సమాధానమిస్తాయి. క్లయింట్ సర్వర్ సరైనదేనని నిర్ణయించుకున్న తర్వాత, [email protected] వంటి EAP గుర్తింపు వినియోగదారు ఎవరో చెబుతుంది. ఆ పాస్వర్డ్ని తిప్పడం వలన పీర్ గుర్తింపు అసమతుల్యతను పరిష్కరించలేము, ఎందుకంటే కనెక్షన్ ఎప్పటికీ వినియోగదారు-లాగిన్ దశకు చేరుకోదు.

శుభ్రపరచబడిన నివేదిక రెండింటికి పేరు పెట్టాలి: క్లయింట్ ఆశించిన గుర్తింపు, సర్వర్ అందించిన గుర్తింపు మరియు సర్టిఫికేట్ యొక్క SAN ఎంట్రీలు.

ఐదవది, ధృవీకరించబడిన ఛానెల్ ద్వారా దాన్ని మార్చండి

గేట్వే చట్టబద్ధంగా కదులుతున్నప్పుడు, మొదట చిరునామాను నవీకరించండి మరియు గుర్తింపును మాత్రమే వదిలివేయండి, ఎందుకంటే అది IKEv2 బాగా పనిచేస్తుంది. గుర్తింపు మారినప్పుడు, దానిని ట్రస్ట్ ఈవెంట్గా పరిగణించండి మరియు మీరు ఇప్పటికే విశ్వసిస్తున్న మూలాధారం నుండి కొత్త విలువను పొందండి, ప్రస్తుతం విఫలమవుతున్న ముగింపు స్థానం నుండి కాదు. మీరు ధృవీకరించడానికి ప్రయత్నిస్తున్న కనెక్షన్ ద్వారా డెలివరీ చేయబడిన సందేశం ఆ కనెక్షన్ గురించి సాక్ష్యం కాదు.

ప్రొఫైల్ నోట్స్లో చివరి చిరునామా, గుర్తింపు మరియు SAN జాబితాను కలిపి రికార్డ్ చేయండి. సర్టిఫికెట్ను తాకిన తర్వాతి వ్యక్తి ఆ ముగ్గురిలో ఎవరిని తరలించడానికి అనుమతించబడతారో చూస్తారు.