iPhone IKEv2 నుండి RouterOS వరకు: ఏ గుర్తింపు ఎక్కడికి వెళుతుంది
iOSలో IKEv2 సొరంగాన్ని నాలుగు వేర్వేరు దావాలు నిర్ణయిస్తాయి: డయల్ చేసే చిరునామా, ఆశించిన సర్వర్ గుర్తింపు, ప్రకటించుకునే క్లయింట్ గుర్తింపు మరియు ధృవపత్ర సామగ్రి.
MikroTik గేట్వేను చేరుకోవడం IKEv2 అమలులో రవాణా సగం మాత్రమే పరిష్కరిస్తుంది, మరేమీ కాదు. ఆ తర్వాత నాలుగు వేర్వేరు దావాలు సొరంగం ఏర్పడుతుందో లేదో నిర్ణయిస్తాయి: ఫోన్ డయల్ చేసే చిరునామా, అది ఆశించే సర్వర్ గుర్తింపు, తన కోసం అది ప్రకటించుకునే గుర్తింపు, మరియు ఆ దావాకు మద్దతిచ్చే ధృవపత్ర సామగ్రి. వాటిని అదే క్రమంలో తనిఖీ చేయండి, మరియు గేట్వే ప్రదర్శించే దానితో సరిపోలని మొదటి దాని వద్ద ఆగండి. ప్రతి ఒక్కటి వేరే చోట సవరించబడుతుంది, అందుకే తప్పు సవరణ సాధారణంగా లోపాన్ని సరిచేయడం బదులు స్థానభ్రంశం చేస్తుంది.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
మార్పిడి ఉపయోగించే క్రమంలోనే ప్రొఫైల్ ఫీల్డ్లను తనిఖీ చేయండి
దూరపు చిరునామా మొదటి IKE ప్యాకెట్ గమ్యస్థానం మాత్రమే. దూరపు గుర్తింపుదారు అంటే గేట్వే తనే అని నిరూపించాలని ఫోన్ ఆశించేది, అది పేరు, మార్గం కాదు. రెండింటినీ ఒకే హోస్ట్నామ్తో నింపడం గేట్వే ధృవపత్రంలో ఆ పేరు ఉన్నప్పుడు పనిచేస్తుంది, లేకపోతే మార్గనిర్దేశన సమస్యలా కనిపించే విధంగా విఫలమవుతుంది. ప్రొఫైల్ను నింపాల్సిన ఫీల్డ్ల జాబితాగా కాకుండా దావాల క్రమంగా చదవండి.
స్థానిక గుర్తింపుదారు ఫోన్ యొక్క స్వంత దావా, మరియు ఫోన్ అందించే క్లయింట్ ధృవపత్రానికి RouterOS గుర్తింపు నమోదు అంగీకరించే పేరుగా ఉండాలి. రెండూ సరిపోలకపోతే, ధృవపత్రం స్వయంగా ధృవీకరించబడిన తర్వాత గేట్వే కనెక్షన్ను తిరస్కరిస్తుంది, మరియు లాగ్ పేరుపెట్టడం సమస్యలా కాకుండా అధికార సమస్యలా కనిపిస్తుంది.
గుర్తింపుదారులను గేట్వే ప్రదర్శించే దానితో పోల్చి తనిఖీ చేయండి
ధృవపత్ర ప్రామాణీకరణ కోసం కాన్ఫిగర్ చేసిన RouterOS పీర్ నమోదు తన స్వంత ధృవపత్రాన్ని ప్రదర్శిస్తుంది, మరియు వేరే విధంగా కాన్ఫిగర్ చేయకపోతే దాని గుర్తింపు అదే ధృవపత్రం నుండి తీసుకోబడుతుంది. ఫోన్ యొక్క దూరపు గుర్తింపుదారు గేట్వే DNS పేరును పేర్కొంటే, గేట్వే ధృవపత్రానికి ఆ పేరు ఫోన్ అంగీకరించే చోట, సాధారణంగా విషయం యొక్క ప్రత్యామ్నాయ పేరులో అవసరం. మరో సాధారణ పేరు కోసం జారీ చేసిన ధృవపత్రం కీ మరియు గొలుసు సరిగ్గా ఉన్నా ధృవీకరించబడదు.
నిర్వహించబడే Apple ప్రొఫైల్లు గుర్తింపు ఫీల్డ్లకు అదనంగా మూల్యాంకనం చేయబడే ధృవపత్ర-పేరు పరిమితిని కూడా కలిగి ఉండవచ్చు. సెట్టింగ్ల స్క్రీన్ చూపే దాని నుండి ధృవీకరణ పేరును ఊహించకుండా పేలోడ్ను పరిశీలించండి, ఎందుకంటే రెండూ ఒకే సెట్టింగ్ కాదు.
క్లయింట్ ధృవపత్రం కీయే తప్ప కేవలం విశ్వాస లంగరు కాదని తనిఖీ చేయండి
CA ధృవపత్రాన్ని దిగుమతి చేయడం గేట్వేను ధృవీకరించడానికి ఫోన్కు ఏదో ఇస్తుంది. అది ఫోన్కు క్లయింట్ గుర్తింపును ఇవ్వదు, మరియు ధృవపత్ర ప్రామాణీకరణకు క్లయింట్ ఆకు ధృవపత్రం మరియు దాని ప్రైవేట్ కీ ఆమోదించబడిన నమోదు మార్గం ద్వారా కలిసి చేరాలి. ప్రైవేట్ కీ లేకుండా నిర్మించిన PKCS#12 శుభ్రంగా ఇన్స్టాల్ అయ్యే మరియు ఏదీ ప్రామాణీకరించని ప్రొఫైల్ను ఇస్తుంది.
క్లయింట్ ఆకుకు RouterOS వైపు ఆశించే గుర్తింపు కూడా అవసరం, అంటే విషయం లేదా విషయం యొక్క ప్రత్యామ్నాయ పేరు సంబంధిత గుర్తింపు కాన్ఫిగరేషన్తో సరిపోలాలి. ఒకే CA నుండి క్లయింట్ మరియు సర్వర్ ధృవపత్రాలను జారీ చేయడం గొలుసును సౌకర్యవంతం చేస్తుంది మరియు రెండు ఆకులను పరస్పరం మార్చుకోగలిగేలా చేయదు.
RouterOS విధానం ఆ పేరును అంగీకరిస్తుందో లేదో తనిఖీ చేయండి
గేట్వేలో పీర్ నమోదు మార్పిడి విధానాన్ని మరియు ప్రామాణీకరణ పద్ధతిని నిర్ణయిస్తుంది, గుర్తింపు నమోదు అంగీకరించిన దూరపు గుర్తింపును ధృవపత్రానికి మరియు తర్వాత వచ్చే విధానానికి కలుపుతుంది. RouterOS v7లో ఈ జత IPsec పీర్ మరియు గుర్తింపు నమోదుల ద్వారా వ్యక్తమవుతుంది, ఉదాహరణకు auth-method=digital-signature ఉన్న IKEv2 పీర్. పాత సంస్కరణ కోసం రాసిన మార్గదర్శిని కాకుండా మీరు ఇన్స్టాల్ చేసిన సంస్కరణలోని నిజమైన మెనూ కంటెంట్ను తనిఖీ చేయండి.
ఇక్కడే అసమతుల్యతను సరిచేయడం చవకైనది, ఎందుకంటే గేట్వే పొందిన మరియు కోరుకున్న గుర్తింపు రెండింటినీ మీకు చెప్పగలదు. లోపాన్ని నిశ్శబ్దం చేయడానికి అంగీకరించిన గుర్తింపును విస్తరించడం అమలుకు అర్థాన్ని ఇచ్చిన బంధాన్ని తొలగిస్తుంది.
ఏదైనా సవరించే ముందు ఏ దశ విఫలమైందో తనిఖీ చేయండి
రెండు చివరలలో ప్రయత్నాన్ని చదివి, ప్రతిపాదనను మార్చే ముందు వర్గీకరించండి. ప్రతిపాదన అసమతుల్యత, తప్పిపోయిన సంతకం కీ, విశ్వసించలేని జారీదారు, తప్పు పీర్ గుర్తింపుదారు మరియు తిరస్కరించబడిన క్లయింట్ అధికారం అన్నీ ఫోన్ నుండి చనిపోయిన సొరంగంలా కనిపిస్తాయి, మరియు ప్రతిదానికి వేరే యజమాని ఉన్నాడు. ఐదు సెట్టింగ్లను ఒకేసారి మార్చడం ఫలితం నుండి మీరు ఏమీ నేర్చుకోకపోవడాన్ని హామీ చేస్తుంది.
ప్రదర్శించిన గుర్తింపు, ఆశించిన గుర్తింపు, ధృవపత్రం జారీదారు మరియు క్రమ సంఖ్య మరియు సంబంధిత విధానం పేరును నమోదు చేయండి, ప్రైవేట్ కీలు మరియు ప్రొఫైల్ రహస్యాలను ఆ నమోదు వెలుపల ఉంచండి. ప్రామాణీకరణ విజయవంతమైన తర్వాత, ప్రైవేట్ సేవను మరియు దాని ప్రతిస్పందనను పరీక్షించండి, ఎందుకంటే IKE మార్పిడి ముగిసిన తర్వాత కూడా చిరునామా కేటాయింపు, ఎంపికకారులు, DNS మరియు ప్రవేశ విధానం పనిచేయాలి.