IKE kimliği mi uç nokta adresi mi: ikisini karıştırmayın
FQDN türünde bir IKE kimliği, ters DNS sorgusu değil, birebir kimlik doğrulama değeridir. Uç nokta adresini, yerel kimliği ve beklenen peer'ı ayrı tutun.
FQDN kimliği olarak etiketlenen alanı birebir dize olarak okuyun, genel adresinizin ters DNS adı için bir istek olarak değil. strongSwan ayrıştırıcısında bu tam olarak odur, bir dize, ve okumak onu asla bir uç noktaya çözmez. Bu gerçek tek başına bir peer için tanımlayıcı seçerken en yaygın dikkat dağıtan şeyi ortadan kaldırır. Aşağıdaki kontroller ilgili üç değerin tek bir değerde birleşmesini önler.
Etiket bir sorgu değildir
Satıcı arayüzleri FQDN ve hostname gibi sözcükleri gevşek kullanır ve kutudaki etiket arkasındaki kodlama hakkında hiçbir şey söylemez. Bir alanı Client FQDN olarak adlandıran cihaz FQDN, e-posta biçiminde bir dize ya da çıplak bir adres gönderebilir. Metni ve türü iki ayrı karar olarak ele alın ve ikisini de kaydedin.
Birebir kimlikte hiçbir şey DNS gerektirmez. Bu, karşı tarafın denetlediği bir iddiadır, ağın çözmesi gereken bir ad değildir.
Üç ayrı değer, ayrı ayrı yazılır
Tek bir yapılandırma ekranının arkasında üç iş vardır ve bunları birleştirmek pahalı hatadır. Bir değer paketlerin nereye gideceğini belirleyen uç nokta adresidir. Bir diğeri bu peer'ın sunduğu yerel kimliktir, üçüncüsü ise onu kimlik doğrulamadan önce karşı uçtan beklediğiniz kimliktir. Bunları değişiklik kaydına üç satır olarak yazın, çünkü bundan azı bir ilişkiyi değil VPN'i tanımlar.
| Job | Example | What it decides |
|---|---|---|
| Where the packets go | 198.51.100.7 | The endpoint address |
| What this peer claims | gw.branch.internal | The local IKE identity |
| Who should answer | ike.hub.internal | The expected remote identity |
Örnek kimlikler dağıtımın parçası olarak seçilmeli ve yetkilendirilmelidir. Bunlar kimlik doğrulamanın denetlediği iddialardır, herhangi bir peer'ı güvenilir kılan kimlik bilgileri değildir, bu yüzden makul görünen bir dize hiçbir şeyi yetkilendirmez.
Tür değerin parçasıdır
strongSwan kimlik başvurusu FQDN, e-posta biçimli değerler, IP adresleri ve diğer kodlamaları ayırır, bu yüzden kodlama karakterler kadar önemlidir. İki cihaz aynı metni farklı türler altında kabul edip yine de birbirini reddedebilir. Değeri türü olmadan kaydeden bir not yarım yapılandırmadır.
Cihazın gerçekte hangi türü gönderdiğini satıcıya sorun ve arayüz etiketiyle değil bir kod çözümüyle doğrulayın. Tahmin edilen tür, bir sonraki değişikliği bekleyen bir uyumsuzluktur.
Her taraf diğerini tatmin etmelidir
Her tarafın yerel kimliği diğer tarafın kimlik doğrulama ilkesinden geçmelidir. Bu, iki cihazdaki her kimlik kutusuna aynı dizeyi yapıştırmakla aynı şey değildir; o kısayol kimsenin hata ayıklayamayacağı bir yapılandırma üretir.
Sertifikayla kimlik doğrulama kendi gereksinimlerini ekler, çünkü sertifikanın kimliği ve güven koşulları yazdığınız IKE kimliğinin yanında durur. Yalnızca IKE kimliğinin eşleşmesi sertifikalı bir peer'ı yetkilendirmez.
DNS nerede önemlidir ve sürümünüz neyi zorunlu kılar
Keşif için kullanılan bir ağ geçidi hostname'i gerçekten çalışan DNS gerektirir ve bu gereksinim uç noktayı bulmaya aittir, yazılan kimliğin herhangi bir ters sorgusuna değil. İkisini kayıtta ayrı tutun, çünkü keşif hatası ile kimlik uyumsuzluğu istemci günlüğünde benzer okunur ve farklı yerlerde onarılır.
Türü zorunlu kılan sözdizimini kopyalamadan önce gerçekten çalıştırdığınız ürünün ve sürümün ayrıştırıcısını okuyun, çünkü eski strongSwan sürümleri farklı davrandı ve diğer satıcılar kendi kısıtlarını ekler. İki ucu karşılaştırırken dört şeyi bir arada tutun: beklenen kimlik, sunulan kimlik, tür ve kimlik doğrulama hatası. Bu küme uyumsuzluğu görüş değil kanıt yapar.