IKEv2 sertifikasının SAN'ı: kimlik denetimi neden başarısız olur

Sertifikanız güvenilir bir CA'ya zincirleniyor, tarihler doğru ve eş yine de kimlik hatasıyla 1. aşamayı tamamlamayı reddediyor. Erişilebilirlik ve geçerli bir imza, bir IKEv2 istemcisinin denetlediğinin yalnızca yarısıdır. Diğer yarısı, beklediği kimliğin sertifikada doğru alanda görünüp görünmediğidir ve bu beklentiyi profil belirler, sertifikanın dosya adı değil.

Belirti her zaman aynı biçimdedir

Bir bağlantı profili ana bilgisayar adından IP adresine değiştirilir ya da DNS adı taşıyan bir sertifikadan yalnızca adresler taşıyan bir sertifikaya yenilenir vetünel görüşmeyi durdurur. Ağ yolunda hiçbir şey değişmedi. İstemci eşe ulaşır, bir sertifika alır ve eşin kimliğini reddeder çünkü beklemesi söylenen tanımlayıcı, kabul ettiği bir alanda temsil edilmiyor. Yenilemeler olağan tetikleyicidir, çünkü yedek sertifika çoğu zaman yerini aldığından farklı bir şablondan gelir.

Ardından iki taraf da işe yaramaz bir şey kaydeder, bu yüzden hata genellikle sertifika sorunu olarak bildirilir. İstemci günlüğü istenen kimliği adlandırabilir ve o ad sizin aradığınız ipucudur, son kullanma tarihi değil.

Tanımlayıcı türünü eşleştirin, yalnızca değeri değil

dNSName SAN ile iPAddress SAN farklı eşleştirme kurallarına sahip farklı alanlardır, bu yüzden 203.0.113.10'u DNS dizesi olarak taşıyan bir sertifika IP kimliği bekleyen bir istemciyi tatmin etmez. Modern doğrulayıcılar ortak adı büyük ölçüde yok sayar, bu yüzden sertifika ayrıntılarındaki dostça etiket neyin eşleşeceği konusunda hiçbir şey kanıtlamaz. Sorun giderme sırasında ana bilgisayar adı bir adresle değiştirildiyse, siz denetleyene kadar beklenen kimliğin de onunla birlikte taşındığını varsayın. Profildeki dizeyi SAN'deki dizeyle karakter karakter karşılaştırın, çünkü sondaki bir nokta veya gereksiz bir boşluk yeterlidir.

Joker karakterler yalnızca DNS kolaylığıdır ve kendi eşleştirme kurallarına uyar, bu da IP tabanlı bir profilin onlara asla güvenmemesi gerektiğinin bir başka nedenidir.

Her istemcinin beklentiyi nerede sakladığını bulun

strongSwan'da sertifikayla karşılaştırılan değer, eş kimliği ayarından gelir: rightid klasik yapılandırmada veya id swanctl'deki bir uzak bağlantı bölümünün id değerinden. Apple IKEv2 birlikte çalışabilirliği hakkındaki belgeleri burada yararlıdır çünkü profil güdümlü bir istemcinin kullandığı kimlik kurallarını açıklar ve bu kurallar hatta rastgele görünen bir uyuşmazlık sınıfını açıklar.

Apple yapılandırma profilleri bir uzak tanımlayıcı alanı taşır ve istemcinin denetlediği şey oradaki değerdir, bağlantı ayarlarındaki sunucu adresi değil. Windows ve cihaz istemcilerinin her birinin kendi alanı ve kendi varsayılanı vardır ve varsayılan çoğu zaman yazdığınız adresi izler. İki alan anlaşmazlığa düştüğünde istemcinin gerçekten okuduğu kazanır ve bu nadiren sizin düzenlediğiniz alandır.

Profili veya sertifikayı bilinçli olarak onarın

Herhangi bir şeyi değiştirmeden önce eş sertifikasını onaylanmış araçlarla inceleyin ve SAN girdilerini türleriyle birlikte listeleyin. Bu inceleme özel anahtar ve yükleme gerektirmez ve soruyu saniyeler içinde çözer. Dağıtım tek bir DNS kimliği amaçlıyorsa sertifika bunu bir dNSName girdisi olarak taşımalıdır ve dağıtım bir adres amaçlıyorsa sertifikanın tam o adres için bir iPAddress girdisine ihtiyacı vardır.

Sertifika yanlışsa operatörden belirli beklenen tanımlayıcıyla düzeltilmiş bir tane isteyin. Profil yanlışsa profili düzeltin ve sertifikayı olduğu gibi bırakın. Kimlik doğrulamayı kapatmak hatayı ortadan kaldırır ve tünelin amaçladığınız eşle konuştuğu denetimini de kaldırır.

Beklenen kimliği her istemci platformu için belgeleyin, çünkü bir istemcinin otomatik olarak türettiği bir değerin başka birinde açıkça belirtilmesi gerekebilir.

Yenileme isteğine dört olgu verin

Beklenen tanımlayıcıyı ve türünü, geçerli sertifikanın gerçekten sahip olduğu SAN girdilerini, denetimi yapan istemciyi ve sürümü ve hatanın tam metnini yazın. Bu dört satırdan oluşturulan bir yenileme isteği, aynı tanıdık dosya adına sahip bir başka sertifika yerine ilk seferde doğru sertifikayı alır.