IKEv2 sunucu adresi ve kimlik: istemcinin gerçekte neyi kontrol ettiği

Adres değiştiren bir ağ geçidi, yeni bir sertifikanın arkasındaki aynı ağ geçidi dururken çalışmaya devam edebilir ve bunun tersi de gerçekleşir. Adres müşteriye paketleri nereye göndereceğini söyler; kimliği doğrulanmış kimlik, müşteriye yanıt veren eşin güvenmesi gereken kişi olup olmadığını söyler. IKEv2 bunları iki ayrı alan olarak tutar; bu, onları tek bir dize olarak değerlendirmeyi bıraktığınızda kullanışlıdır. Ayrıca farklı yerlerde yapılandırılmışlardır, böylece biri doğru iken diğeri yanlış olabilir.

Bunları bu sırayla kontrol edin ve ilk uyumsuzlukta durun çünkü sonraki kontroller, öncekilerin geçtiğini varsayar.

Öncelikle adres hangi değerdir

Bağlantı adresi, istemcinin çevirdiği şeydir: bir IP, bire çözümlenen bir DNS adı veya yük dengeli bir ön uç. Bu ulaşım bilgisidir ve başka bir şey değildir. Kimlik, IKEv2 kimlik yükünde yer alır ve ardından eşin sertifikasıyla eşleştirilir. Adres kutusundaki DNS adı beklenen kimliğe dönüşmez ve ham IP, yalnızca kendisine bağlı soket nedeniyle kimlik haline gelmez.

strongSwan açısından, adres right veya left'dir ve beklenen kimlik rightid veya leftid'tür ve IKEv2 konfigürasyon belgelerinde açıklanan da budur. Adresi yalnızca düzenlediyseniz çiftin yarısını yapılandırmışsınız demektir.

İkincisi, sertifikanın neyi kanıtlayabileceği

Kimliğin bir türü vardır ve sertifikanın eşleşen bir ad taşıması gerekir. Bir DNS kimliği, konu alternatif ad uzantısındaki bir dNSName girişi tarafından karşılanır; IP kimliğinin iPAddress girişine ihtiyacı vardır. vpn.example.com için verilen bir sertifika, 203.0.113.10 gerçek adresi hakkında hiçbir şey kanıtlamaz ve bu adres için verilen bir sertifika, ad hakkında hiçbir şey kanıtlamaz. Bu nedenle, aynı anahtar ve CA yeniden kullanılsa bile, farklı bir ad için yeniden düzenleme, anında değiştirme değildir.

Modern istemciler, bir konu alternatif adı mevcut olduğunda ortak adı göz ardı eder ve çoğu kişi bunu tamamen görmezden gelir. SAN listesi istemcinin kontrol ettiği değeri içermiyorsa, sertifika zaten güvenilir olarak kabul edildikten sonra el sıkışma başarısız olur, bu nedenle günlük bir güven hatası yerine kimlik hatası gibi okunur.

Üçüncüsü, her müşterinin beklentisini nasıl ifade ettiği

Windows yazdığınız sunucu adını veya adresini alır ve sertifikanın bununla eşleşmesini gerektirir, bu nedenle bir IP yazmak bir IP beklentisi oluşturur. Android'nin IKEv2 istemcisi aynı şekilde davranır ve her ikisi de farklı bir ana bilgisayarı adlandıran geçerli, genel olarak güvenilen bir sertifikayı reddeder. Bir profil, yalnızca birisinin taşıma sırasında ana bilgisayar adını adresiyle değiştirmesi nedeniyle başarısız olmaya başlayabilir. Sertifikanın ne içerdiğine bakmadan önce müşterinin ne istediğine bakın.

strongSwan üzerinde beklenti açıktır: rightid'i sunucunun gerçekte sunduğu kimliğe ayarlayın, bu sağdan farklı olabilir. Bunu %any olarak ayarlamak, eşin sunduğu her şeyi kabul eder ve saklamaya çalıştığınız çeki tam olarak kaldırır.

Dördüncüsü, kullanıcı girişini eş kimlikten ayırın

EAP kimlik doğrulaması ve sunucu kimliği farklı soruları yanıtlar. [email protected] gibi bir EAP kimliği, istemci sunucunun doğru sunucu olduğuna karar verdikten sonra kullanıcının kim olduğunu söyler. Bağlantı hiçbir zaman kullanıcı oturum açma aşamasına ulaşmadığından, bu parolanın döndürülmesi eş kimlik uyumsuzluğunu düzeltemez.

Temizlenmiş bir rapor her ikisini de adlandırmalıdır: istemcinin beklediği kimlik, sunucunun sunduğu kimlik ve sertifikanın SAN girişleri.

Beşincisi, doğrulanmış bir kanal aracılığıyla değiştirin

Ağ geçidi meşru bir şekilde taşındığında, önce adresi güncelleyin ve kimliği yalnız bırakın, çünkü bu durumda IKEv2 iyi işlenir. Kimliğin kendisi değiştiğinde, bunu bir güven olayı olarak değerlendirin ve yeni değeri, halihazırda başarısız olan uç noktadan değil, zaten güvendiğiniz bir kaynaktan alın. Doğrulamaya çalıştığınız bağlantı üzerinden gönderilen bir mesaj, o bağlantıya dair kanıt değildir.

Profil notlarına son adresi, kimliği ve SAN listesini birlikte kaydedin. Sertifikaya dokunan bir sonraki kişi, üç kişiden hangisinin hareket etmesine izin verildiğini görecektir.