ตัวตน IKE หรือที่อยู่ปลายทาง: อย่าเอามาปนกัน
ตัวตน IKE ชนิด FQDN เป็นค่าการพิสูจน์ตัวตนแบบข้อความตรง ไม่ใช่การค้นหา DNS ย้อนกลับ แยกที่อยู่ปลายทาง ตัวตนภายใน และ peer ที่คาดไว้ออกจากกัน
อ่านฟิลด์ที่ระบุว่าเป็นตัวตน FQDN เป็นสตริงตามตัวอักษร ไม่ใช่คำขอชื่อ DNS ย้อนกลับของที่อยู่สาธารณะของคุณ ในตัวแยกวิเคราะห์ของ strongSwan มันคือสตริงนั้นจริง ๆ และการอ่านก็ไม่เคยแปลงเป็นปลายทาง ข้อเท็จจริงข้อนี้เพียงอย่างเดียวก็ขจัดความสับสนที่พบบ่อยที่สุดเมื่อคุณเลือกตัวระบุสำหรับ peer การตรวจสอบด้านล่างป้องกันไม่ให้ค่าทั้งสามที่เกี่ยวข้องหลอมรวมเป็นค่าเดียว
ป้ายชื่อไม่ใช่การค้นหา
อินเทอร์เฟซของผู้จำหน่ายใช้คำอย่าง FQDN และ hostname อย่างหลวม ๆ และป้ายบนกล่องไม่ได้บอกอะไรเกี่ยวกับการเข้ารหัสที่อยู่เบื้องหลัง อุปกรณ์ที่เรียกฟิลด์หนึ่งว่า Client FQDN อาจส่ง FQDN สตริงรูปอีเมล หรือที่อยู่เปล่า ๆ ก็ได้ มองข้อความและชนิดเป็นสองการตัดสินใจแยกกัน และบันทึกทั้งสองอย่าง
ไม่มีอะไรในตัวตนแบบข้อความตรงที่ต้องใช้ DNS มันเป็นข้ออ้างที่อีกฝ่ายตรวจสอบ ไม่ใช่ชื่อที่เครือข่ายต้องแปลง
สามค่าที่แยกกัน เขียนแยกกัน
มีสามงานอยู่เบื้องหลังหน้าจอตั้งค่าหนึ่งหน้า และการรวมเข้าด้วยกันคือความผิดพลาดที่แพง ค่าหนึ่งคือ ที่อยู่ปลายทางซึ่งกำหนดว่าแพ็กเก็ตจะไปที่ไหน อีกค่าคือตัวตนภายในที่ peer นี้แสดง และค่าที่สามคือตัวตนที่คุณคาดหวังจากปลายทางไกลก่อนที่จะพิสูจน์ตัวตน เขียนทั้งสามเป็นสามบรรทัดในตั๋วเปลี่ยนแปลง เพราะอะไรที่น้อยกว่านั้นอธิบาย VPN ไม่ใช่ความสัมพันธ์
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
ตัวตนตัวอย่างต้องถูกเลือกและอนุญาตเป็นส่วนหนึ่งของการติดตั้ง มันเป็นข้ออ้างที่การพิสูจน์ตัวตนตรวจสอบ ไม่ใช่ข้อมูลรับรองที่ทำให้ peer ใดน่าเชื่อถือ ดังนั้นสตริงที่ดูสมเหตุสมผลไม่ได้อนุญาตอะไรเลย
ชนิดเป็นส่วนหนึ่งของค่า
เอกสารอ้างอิงตัวตนของ strongSwan แยก FQDN ค่ารูปอีเมล ที่อยู่ IP และการเข้ารหัสอื่น ๆ ดังนั้นการเข้ารหัสจึงสำคัญพอ ๆ กับตัวอักษร อุปกรณ์สองเครื่องอาจยอมรับข้อความเดียวกันภายใต้ชนิดที่ต่างกันและยังปฏิเสธกันได้ บันทึกที่เก็บค่าโดยไม่มีชนิดเป็นเพียงครึ่งหนึ่งของการตั้งค่า
ถามผู้จำหน่ายว่าอุปกรณ์ส่งชนิดใดจริง ๆ และยืนยันด้วยการถอดรหัส ไม่ใช่ด้วยป้ายของอินเทอร์เฟซ ชนิดที่เดาไว้คือความไม่ตรงกันที่รอการเปลี่ยนแปลงครั้งถัดไป
แต่ละฝ่ายต้องทำให้อีกฝ่ายพอใจ
ตัวตนภายในของแต่ละฝ่ายต้องผ่านนโยบายการพิสูจน์ตัวตนของอีกฝ่าย นี่ไม่เหมือนกับการวางสตริงเดียวลงในทุกช่องตัวตนบนอุปกรณ์ทั้งสอง ซึ่งเป็นทางลัดที่สร้างการตั้งค่าที่ไม่มีใครดีบักได้
การพิสูจน์ตัวตนด้วยใบรับรองเพิ่มข้อกำหนดของตัวเอง เพราะตัวตนของใบรับรองและเงื่อนไขความเชื่อถืออยู่ข้าง ๆ ตัวตน IKE ที่คุณพิมพ์ การตรงกันของตัวตน IKE เพียงอย่างเดียวไม่ได้อนุญาต peer ที่มีใบรับรอง
DNS สำคัญตรงไหน และเวอร์ชันของคุณบังคับอะไร
hostname ของเกตเวย์ที่ใช้ในการค้นหาจำเป็นต้องมี DNS ที่ทำงานได้จริง และข้อกำหนดนั้นเป็นของการหาปลายทาง ไม่ใช่การค้นหาแบบย้อนกลับของตัวตนที่พิมพ์ไว้ แยกสองเรื่องนี้ออกจากกันในตั๋ว เพราะความล้มเหลวในการค้นหาและความไม่ตรงกันของตัวตนอ่านคล้ายกันในบันทึกของไคลเอนต์และซ่อมในที่ที่ต่างกัน
อ่านตัวแยกวิเคราะห์ของผลิตภัณฑ์และเวอร์ชันที่คุณรันจริงก่อนคัดลอกไวยากรณ์ที่บังคับชนิด เพราะ strongSwan รุ่นเก่าทำงานต่างออกไป และผู้จำหน่ายรายอื่นเพิ่มข้อจำกัดของตนเอง เมื่อเทียบสองฝ่าย ให้ยึดสี่อย่างไว้ด้วยกัน คือตัวตนที่คาดหวัง ตัวตนที่แสดง ชนิด และข้อผิดพลาดในการพิสูจน์ตัวตน ชุดนี้เปลี่ยนความไม่ตรงกันให้เป็นหลักฐาน ไม่ใช่ความเห็น