iPhone IKEv2 ไปยัง RouterOS: ตัวระบุใดไปอยู่ที่ไหน
ข้อกล่าวอ้างสี่ข้อแยกกันเป็นตัวกำหนดอุโมงค์ IKEv2 บน iOS ได้แก่ ที่อยู่ที่หมุนหา ตัวตนเซิร์ฟเวอร์ที่คาดหวัง ตัวตนไคลเอนต์ที่อ้างถึง และวัสดุใบรับรอง
การเข้าถึงเกตเวย์ MikroTik แก้ได้เพียงครึ่งเดียวของฝั่งการรับส่งในการติดตั้งใช้ IKEv2 และไม่มีอะไรมากกว่านั้น จากนั้นข้อกล่าวอ้างสี่ข้อที่แยกจากกันจะเป็นตัวตัดสินว่าอุโมงค์จะเกิดขึ้นหรือไม่ ได้แก่ ที่อยู่ที่โทรศัพท์หมุนหา ตัวตนของเซิร์ฟเวอร์ที่คาดหวัง ตัวตนที่โทรศัพท์อ้างถึงตัวเอง และวัสดุใบรับรองที่รองรับข้อกล่าวอ้างนั้น ตรวจสอบตามลำดับนั้นและหยุดที่ข้อแรกที่ไม่ตรงกับสิ่งที่เกตเวย์นำเสนอ แต่ละข้อถูกแก้ไขในที่ต่างกัน จึงเป็นเหตุให้การแก้ไขผิดมักย้ายความล้มเหลวแทนที่จะแก้ให้หาย
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
ตรวจสอบฟิลด์ของโปรไฟล์ตามลำดับที่การแลกเปลี่ยนใช้
ที่อยู่ระยะไกลคือปลายทางของแพ็กเก็ต IKE แรกและไม่มีอะไรมากกว่านั้น ตัวระบุระยะไกลคือสิ่งที่โทรศัพท์คาดว่าเกตเวย์จะพิสูจน์ว่าตนคือ และมันคือชื่อ ไม่ใช่เส้นทาง การกรอกทั้งสองด้วยชื่อโฮสต์เดียวกันได้ผลเมื่อใบรับรองของเกตเวย์มีชื่อนั้น และล้มเหลวในลักษณะที่ดูเหมือนปัญหาเส้นทางเมื่อไม่มีชื่อนั้น อ่านโปรไฟล์เป็นลำดับของข้อกล่าวอ้าง ไม่ใช่รายการฟิลด์ที่ต้องกรอก
ตัวระบุภายในคือข้อกล่าวอ้างของโทรศัพท์เอง และต้องเป็นชื่อที่รายการระบุตัวตนของ RouterOS ยอมรับสำหรับใบรับรองไคลเอนต์ที่โทรศัพท์นำเสนอ หากทั้งสองไม่ตรงกัน เกตเวย์จะปฏิเสธการเชื่อมต่อหลังจากใบรับรองผ่านการตรวจสอบแล้ว และบันทึกจะดูเหมือนปัญหาการอนุญาตไม่ใช่ปัญหาเรื่องชื่อ
ตรวจสอบตัวระบุเทียบกับสิ่งที่เกตเวย์นำเสนอ
รายการเพียร์ของ RouterOS ที่กำหนดค่าไว้สำหรับการยืนยันตัวตนด้วยใบรับรองจะนำเสนอใบรับรองของตนเอง และตัวตนของมันมาจากใบรับรองนั้นเว้นแต่คุณกำหนดค่าไว้เป็นอย่างอื่น หากตัวระบุระยะไกลของโทรศัพท์ระบุชื่อ DNS ของเกตเวย์ ใบรับรองของเกตเวย์ต้องมีชื่อนั้นในตำแหน่งที่โทรศัพท์ยอมรับ ซึ่งปกติคือชื่อทางเลือกของหัวข้อ ใบรับรองที่ออกให้ชื่อสามัญอื่นจะไม่ผ่านการตรวจสอบแม้กุญแจและห่วงโซ่จะสมบูรณ์
โปรไฟล์ Apple ที่ถูกจัดการอาจมีข้อจำกัดชื่อใบรับรองที่ประเมินเพิ่มจากฟิลด์ตัวระบุด้วย ตรวจสอบเพย์โหลดแทนการอนุมานชื่อสำหรับตรวจสอบจากสิ่งที่หน้าจอการตั้งค่าแสดง เพราะทั้งสองไม่ใช่การตั้งค่าเดียวกัน
ตรวจสอบว่าใบรับรองไคลเอนต์เป็นกุญแจ ไม่ใช่เพียงหลักยึดความเชื่อถือ
การนำเข้าใบรับรอง CA ทำให้โทรศัพท์มีสิ่งที่ใช้ตรวจสอบเกตเวย์ได้ แต่ไม่ได้ให้ตัวตนไคลเอนต์แก่โทรศัพท์ และการยืนยันตัวตนด้วยใบรับรองต้องส่งใบรับรองใบไคลเอนต์พร้อมกุญแจส่วนตัวไปด้วยกันผ่านเส้นทางการลงทะเบียนที่ได้รับอนุมัติ PKCS#12 ที่สร้างขึ้นโดยไม่มีกุญแจส่วนตัวจะได้โปรไฟล์ที่ติดตั้งได้เรียบร้อยแต่ยืนยันตัวตนไม่ได้เลย
ใบไคลเอนต์ยังต้องมีตัวตนที่ฝั่ง RouterOS คาดหวัง ซึ่งหมายความว่าหัวข้อหรือชื่อทางเลือกของหัวข้อต้องสอดคล้องกับการกำหนดค่าตัวตนที่เกี่ยวข้อง การออกใบรับรองไคลเอนต์และเซิร์ฟเวอร์จาก CA เดียวทำให้ห่วงโซ่สะดวกและไม่ได้ทำให้ใบทั้งสองใช้แทนกันได้
ตรวจสอบว่านโยบายของ RouterOS ยอมรับชื่อนั้น
บนเกตเวย์ รายการเพียร์กำหนดโหมดการแลกเปลี่ยนและวิธีการยืนยันตัวตน และรายการตัวตนผูกตัวตนระยะไกลที่ยอมรับเข้ากับใบรับรองและนโยบายที่ตามมา ใน RouterOS v7 คู่นี้แสดงออกผ่านรายการเพียร์และตัวตนของ IPsec เช่น เพียร์ IKEv2 ที่มี auth-method=digital-signature ตรวจสอบเนื้อหาเมนูจริงในรุ่นที่ติดตั้งไว้ ไม่ใช่คู่มือที่เขียนสำหรับรุ่นเก่ากว่า
ที่นี่คือที่ที่ความไม่ตรงกันแก้ได้ถูกที่สุด เพราะเกตเวย์บอกคุณได้ทั้งตัวตนที่ได้รับและตัวตนที่ต้องการ การขยายตัวตนที่ยอมรับเพื่อปิดเสียงข้อผิดพลาดจะลบพันธะที่ทำให้การติดตั้งมีความหมาย
ตรวจสอบว่าขั้นตอนใดล้มเหลวก่อนจะแก้ไขอะไร
อ่านความพยายามที่ทั้งสองปลายและจำแนกก่อนเปลี่ยนข้อเสนอ ความไม่ตรงกันของข้อเสนอ กุญแจลงนามที่หายไป ผู้ออกที่ไม่น่าเชื่อถือ ตัวระบุเพียร์ที่ผิด และการอนุญาตไคลเอนต์ที่ถูกปฏิเสธ ล้วนดูเหมือนอุโมงค์ที่ตายแล้วจากมุมของโทรศัพท์ และแต่ละอย่างมีเจ้าของต่างกัน การเปลี่ยนทั้งห้าการตั้งค่าพร้อมกันรับประกันว่าคุณจะไม่ได้เรียนรู้อะไรจากผลลัพธ์
บันทึกตัวตนที่นำเสนอ ตัวตนที่คาดหวัง ผู้ออกและหมายเลขซีเรียลของใบรับรอง และชื่อนโยบายที่เกี่ยวข้อง โดยเก็บกุญแจส่วนตัวและความลับของโปรไฟล์ไว้นอกบันทึกนั้น เมื่อการยืนยันตัวตนสำเร็จ ให้ ทดสอบบริการส่วนตัวและการตอบกลับ เพราะการกำหนดที่อยู่ ตัวเลือก DNS และนโยบายการเข้าถึงยังต้องทำงานหลังการแลกเปลี่ยน IKE สิ้นสุด