Pagkakakilanlang IKE o Address ng Endpoint: Huwag Paghalo-haluin
Ang pagkakakilanlang IKE na uri ng FQDN ay literal na halaga ng pagpapatunay, hindi reverse-DNS lookup. Ihiwalay ang address ng endpoint, lokal na pagkakakilanlan at ang inaasahang peer.
Basahin ang field na may label na FQDN identity bilang literal na string, hindi bilang kahilingan para sa reverse-DNS na pangalan ng iyong pampublikong address. Sa parser ng strongSwan iyon nga iyon, isang string, at hindi ito kailanman nireresolba sa isang endpoint sa pagbasa. Ang katotohanang iyon lamang ang nag-aalis ng pinakakaraniwang pagkagambala kapag pumipili ka ng mga identifier para sa isang peer. Pinipigilan ng mga pagsusuri sa ibaba na magsanib ang tatlong kasangkot na halaga sa isa.
Ang label ay hindi lookup
Malayang ginagamit ng mga interface ng vendor ang mga salitang tulad ng FQDN at hostname, at walang sinasabi ang label sa isang kahon tungkol sa encoding sa likod nito. Ang isang appliance na tumatawag sa isang field na Client FQDN ay maaaring magpadala ng FQDN, string na hugis-email o hubad na address. Ituring ang teksto at ang uri bilang dalawang magkahiwalay na desisyon, at itala ang dalawa.
Walang anuman sa literal na pagkakakilanlan ang nangangailangan ng DNS. Isa itong pahayag na sinisiyasat ng kabilang dulo, hindi pangalang kailangang iresolba ng network.
Tatlong magkahiwalay na halaga, magkahiwalay na isinulat
Tatlong trabaho ang nasa likod ng isang configuration screen, at ang pagsasanib sa kanila ang mamahaling pagkakamali. Ang isang halaga ay ang address ng endpoint, na nagtatakda kung saan pupunta ang mga packet. Ang isa pa ay ang lokal na pagkakakilanlang ipinapakita ng peer na ito, at ang pangatlo ay ang pagkakakilanlang inaasahan mo mula sa malayong dulo bago mo ito patunayan. Isulat ang mga ito bilang tatlong linya sa change ticket, dahil ang anumang kulang doon ay naglalarawan ng VPN at hindi ng isang relasyon.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Kailangang piliin at pahintulutan ang mga halimbawang pagkakakilanlan bilang bahagi ng deployment. Mga pahayag ang mga ito na sinisiyasat ng pagpapatunay, hindi mga kredensyal na gagawing mapagkakatiwalaan ang anumang peer, kaya't ang string na mukhang kapani-paniwala ay walang pinapahintulutan.
Ang uri ay bahagi ng halaga
sanggunian ng pagkakakilanlan ng strongSwan ang naghihiwalay ng FQDN, mga halagang hugis-email, mga address ng IP at iba pang encoding, kaya't ang encoding ay kasinghalaga ng mga karakter. Maaaring tanggapin ng dalawang device ang parehong teksto sa ilalim ng magkaibang uri at tanggihan pa rin ang isa't isa. Ang tala na nagtatala ng halaga nang walang uri nito ay kalahating configuration.
Itanong sa vendor kung aling uri ang aktuwal na ipinapadala ng appliance, at kumpirmahin ito sa pamamagitan ng decode at hindi sa label ng interface. Ang hinulaang uri ay isang hindi pagtutugma na naghihintay sa susunod na pagbabago.
Kailangang masiyahan ng bawat panig ang isa
Kailangang malampasan ng lokal na pagkakakilanlan ng bawat panig ang patakaran sa pagpapatunay ng kabilang panig. Hindi ito katulad ng pagdikit ng isang string sa bawat kahon ng pagkakakilanlan sa dalawang device, na siyang shortcut na gumagawa ng configuration na walang makapag-debug.
Ang pagpapatunay gamit ang sertipiko ay nagdaragdag ng sariling mga hinihingi, dahil ang pagkakakilanlan ng sertipiko at ang mga kundisyon ng pagtitiwala ay nasa tabi ng IKE identity na itinaip mo. Ang pagkakatugma lamang ng IKE identity ay hindi nagpapahintulot sa peer na may sertipiko.
Saan mahalaga ang DNS, at ano ang ipinipilit ng iyong bersyon
Ang hostname ng gateway na ginagamit para sa pagtuklas ay talagang nangangailangan ng gumaganang DNS, at ang hinihinging iyon ay kabilang sa paghahanap ng endpoint at hindi sa anumang reverse lookup ng itinaip na pagkakakilanlan. Ihiwalay ang dalawa sa ticket, dahil ang kabiguan sa pagtuklas at ang hindi pagtutugma ng pagkakakilanlan ay magkatulad basahin sa log ng kliyente at inaayos sa magkaibang lugar.
Basahin ang parser ng produkto at bersyon na aktuwal mong pinapatakbo bago kopyahin ang syntax na nagpipilit ng uri, dahil iba ang inasal ng mga lumang release ng strongSwan at nagdaragdag ng sariling limitasyon ang ibang vendor. Kapag inihahambing mo ang dalawang dulo, hawakan nang sabay ang apat na bagay: inaasahang pagkakakilanlan, ipinakitang pagkakakilanlan, uri at ang error sa pagpapatunay. Ang set na iyon ay ginagawang ebidensya ang hindi pagtutugma kaysa opinyon.