การตั้งค่าสำหรับใบรับรอง IKEv2 บน iPhone: การลงทะเบียนแบบทำเองหรือแบบจัดการ

การเลือก RSA เพราะเครื่องมือใบรับรองของเกตเวย์ใช้เป็นค่าเริ่มต้นเป็นการตัดสินใจที่ทำก่อนคำถามสำคัญ คือ iPhone เหล่านี้จะลงทะเบียนอย่างไร การเชื่อมต่อที่ผู้ใช้พิมพ์เองและโปรไฟล์การกำหนดค่าที่ฝ่ายจัดการส่งมอบแสดงการตั้งค่าที่ต่างกัน และตัวเลือกใบรับรองบางอย่างมีอยู่เพียงเส้นทางเดียวเท่านั้น จัดลำดับให้ถูกต้อง แผนใบรับรองก็จะสั้นลง จัดลำดับผิดก็จะออกข้อมูลประจำตัวที่โทรศัพท์ไม่นำไปใช้ มองขั้นตอนด้านล่างเป็นลำดับ เพราะแต่ละขั้นลดตัวเลือกที่เหลือสำหรับขั้นถัดไป

ขั้นแรก: เลือกเส้นทางการลงทะเบียน

การตั้งค่าแบบทำเองหมายถึงผู้ใช้ป้อนที่อยู่เซิร์ฟเวอร์ เลือกวิธีการพิสูจน์ตัวตน และให้ข้อมูลประจำตัวใดก็ตามที่อินเทอร์เฟซอนุญาต การลงทะเบียนแบบจัดการหมายถึงโปรไฟล์บรรจุที่อยู่ ตัวระบุ และการอ้างอิงถึงเพย์โหลดข้อมูลประจำตัว เส้นทางแบบจัดการแสดงชุดค่าผสมที่หน้าจอแบบทำเองทำไม่ได้ ดังนั้นการตัดสินใจเรื่องใบรับรองจึงต้องมาหลังการเลือกนี้ ไม่ใช่ก่อน

ทั้งสองเส้นทางสามารถพิสูจน์ตัวตนโทรศัพท์ได้ ต่างกันที่สิ่งที่กำหนดค่าได้และใครเป็นเจ้าของตัวตน จึงควรเลือกอย่างใดอย่างหนึ่งโดยตั้งใจ แทนที่จะผสมโปรไฟล์แบบจัดการกับการป้อนข้อมูลประจำตัวด้วยมือ

ขั้นที่สอง: เลือกอัลกอริทึมสำหรับเส้นทางที่เลือก

สำหรับ iPhone ที่กำหนดค่าเอง บันทึกความเข้ากันได้กับ iOS ของ strongSwan แนะนำใบรับรองเซิร์ฟเวอร์ RSA เพราะไคลเอนต์แบบทำเองอาจไม่ยอมรับใบรับรองเซิร์ฟเวอร์ ECDSA บันทึกเดียวกันนี้จัดการ macOS แยกต่างหาก อ่านสิ่งนี้เป็นแนวทางสำหรับชุดไคลเอนต์ที่รองรับ ไม่ใช่กฎตายตัวเกี่ยวกับอุปกรณ์ Apple โปรไฟล์แบบจัดการมีพื้นที่มากกว่า สามารถเลือกประเภทใบรับรองได้อย่างชัดเจน รวมถึงตัวตนไคลเอนต์ ECDSA เมื่อเพย์โหลดและเกตเวย์รองรับทั้งคู่

ตรวจสอบเวอร์ชัน iOS ที่รองรับจริงก่อนนำอะไรไปใช้งาน โทรศัพท์ในห้องทดลองที่ใช้เวอร์ชันล่าสุดไม่ได้อธิบายกลุ่มอุปกรณ์ที่มีรุ่นเก่ากว่า และอัลกอริทึมที่ทำงานในห้องทดลองอาจล้มเหลวบนโทรศัพท์รุ่นเก่าที่สุดในภาคสนาม ดึงช่วงเวอร์ชันจากระบบจัดการอุปกรณ์ ไม่ใช่จากความจำ หากกลุ่มอุปกรณ์ครอบคลุมหลายเวอร์ชัน ให้ทดสอบรุ่นเก่าที่สุดก่อน เพราะอินเทอร์เฟซแบบทำเองจำกัดที่สุดตรงนั้น

ขั้นที่สาม: อ่านฟิลด์ของโปรไฟล์เป็นสิ่งแยกกัน

คีย์หลายตัวที่ชื่อคล้ายกันอธิบายวัตถุที่ต่างกัน ที่อยู่ระยะไกลคือโฮสต์ที่โทรศัพท์เรียก ตัวระบุระยะไกลคือตัวตน IKE ที่คาดว่าเกตเวย์จะนำเสนอ การอ้างอิงใบรับรองในเพย์โหลดชี้ไปยังข้อมูลประจำตัวไคลเอนต์ และฟิลด์ประเภทใบรับรองเลือกประเภทที่ใช้สำหรับการพิสูจน์ตัวตนเครื่อง IKEv2 ไม่มีสิ่งใดในเหล่านี้เป็นอัลกอริทึมลายเซ็นของ CA แม้ว่าคำจะทับซ้อนกัน

เอกสารอ้างอิงเพย์โหลด IKEv2 ของ Apple ระบุ RSA เป็นประเภทใบรับรองเริ่มต้นพร้อมตัวแปร ECDSA ที่ชัดเจน และเชื่อมโยงคีย์ชื่อผู้ออกกับการตั้งค่าการพิสูจน์ตัวตนที่เฉพาะเจาะจง อ่านความสัมพันธ์เหล่านั้นในเอกสารอ้างอิงของวิธีที่เลือก แทนที่จะคัดลอกคีย์หนึ่งจากการติดตั้งที่ทำงานอยู่

ขั้นที่สี่: ทำให้ตัวตนของเกตเวย์ตรงกับใบรับรอง

ใช้ชื่อเกตเวย์ที่ชัดเจน เช่น vpn.example.com และใส่ ชื่อหัวข้อทางเลือกที่ตรงกัน ลงในใบรับรองเซิร์ฟเวอร์ คู่มือ Apple ของ strongSwan ยังคาดหวังการใช้คีย์แบบขยายสำหรับการพิสูจน์ตัวตนเซิร์ฟเวอร์ การเลือก RSA หรือ ECDSA ไม่เปลี่ยนสิ่งใดเลย อัลกอริทึมไม่สามารถซ่อมแซมชื่อที่ไม่ตรงกัน EKU ที่หายไป หรือห่วงโซ่ที่ไม่สมบูรณ์ได้

การกระจายแองเคอร์ความเชื่อถือเป็นงานแยกจากการยืนยันตัวตน โทรศัพท์ต้องการห่วงโซ่ใบรับรองที่ตรวจสอบได้ และต้องกำหนดค่าให้คาดหวังชื่อที่คุณใส่ลงในใบรับรองจริง

การที่แพลตฟอร์มอื่นเชื่อมต่อได้สำเร็จเป็นหลักฐานเกี่ยวกับกฎการตรวจสอบของแพลตฟอร์มนั้น ไม่ใช่การอนุญาตให้ผ่อนปรนกฎของโทรศัพท์ รักษาการตรวจสอบให้เหมือนกันในทุกไคลเอนต์ เว้นแต่มีเหตุผลที่บันทึกไว้ให้แตกต่าง

ขั้นที่ห้า: แยกตัวตนไคลเอนต์ออกจากความเชื่อถือ CA

ใบรับรองไคลเอนต์และคีย์ส่วนตัวไม่ใช่วัตถุเดียวกับใบรับรอง CA ที่โทรศัพท์เชื่อถือ การรวมใบรับรอง CA ไว้ในตัวตน PKCS#12 ไม่ได้ติดตั้งเป็นแองเคอร์ความเชื่อถือโดยอัตโนมัติบนทุกอุปกรณ์ที่รองรับ จึงควรถือว่าการกระจายความเชื่อถือเป็นขั้นตอนแยกที่มีการตรวจสอบของตัวเอง

หากการออกแบบใช้ EAP ที่อิงรหัสผ่านแทน โทรศัพท์ต้องมีการพิสูจน์ตัวตนบัญชีตามที่ตั้งใจไว้พร้อมกับการตรวจสอบเซิร์ฟเวอร์ เส้นทางนั้นไม่สมเหตุสมผลที่จะส่งคีย์ส่วนตัวของไคลเอนต์คีย์เดียวที่ใช้ร่วมกันให้ทั้งกลุ่ม ซึ่งเป็นการออกแบบที่แตกต่างและมีโหมดล้มเหลวที่แย่กว่ามาก

จบแผนโดยคำนึงถึงการต่ออายุและการเพิกถอน ใครออกข้อมูลประจำตัวไคลเอนต์ใหม่ โปรไฟล์ได้รับการอัปเดตอย่างไร และโทรศัพท์ที่หายไปถูกตัดขาดอย่างไร บันทึกเวอร์ชันโปรไฟล์และเวอร์ชันอุปกรณ์ที่ใช้ตรวจสอบ เพราะบันทึกนั้นคือสิ่งที่ทำให้การเปลี่ยนใบรับรองครั้งต่อไปเป็นงานประจำ