Tek bir IKEv2 oturumunda iki kimlik: önce makine, sonra kullanıcı

İstemci sertifikası doğrulanır, ilk değiş tokuş tamamlanır ve ardından bağlantı ek bir kimlik doğrulama turuyla ilgili bir hatayla durur. Sertifika zincirinde yanlış olan hiçbir şey yoktur ve ağda hiçbir şey değişmemiştir. Ağ geçidi, bağlanan taraftan ikinci bir kanıt talep edecek şekilde yapılandırılmıştır ve istemci bunu hiçbir zaman göndermez. Kimin neyi hangi sırayla kanıtlayacağına karar vermek işin tamamıdır ve bu, durduğunuz uç noktadaki politikayı okumakla başlar. Farklı türde iki kanıtın sabit bir sırayla istenmesi bir tasarım kararıdır, bir onay kutusu değil.

Belirti: başarılı ilk kanıttan sonra başarısızlık

İlk değiş tokuş tamamlanır ve günlük sağlıklı görünür, ta ki ağ geçidi EAP üzerinden bir kullanıcı kimliği isteyene kadar. Ardından el sıkışma durur veya ek turu adlandıran bir protokol hatası döndürür. Tamamen geçerli bir makine sertifikası, geçerliliğiyle ilgisi olmayan bir nedenle reddedilir. Politika ikinci bir kanıt istedi ve istemcinin yanıtı hiçbir zaman gelmedi.

Bu başarısızlığın iki tanımı da nerede durduğunuza bağlı olarak doğrudur. İstemci tarafından bakınca geçerli bir sertifikayı reddeden bir sunucu gibi görünür, sunucu tarafından bakınca oturum açmayı bitiremeyen bir istemci gibi görünür. Aynı olay bir günlükte güven sorunu, diğerinde yetenek sorunu olarak okunur. Hangisi olduğunu yalnızca yapılandırılmış politika söyler.

Uzantı neyi ekler, neyi eklemez

IKEv2, tek bir oturum içinde birden fazla kimlik doğrulama değiş tokuşu çalıştırmak için bir uzantı taşır. RFC 4739, diğer dizilerin yanı sıra, bir istemcinin sertifika kimliğini kanıtlayıp ardından EAP üzerinden bir kişiyi doğrulamasını taslak olarak verir. Belge Deneysel durumdadır, yani hiçbir uygulama bu özelliği size borçlu değildir. Karşı taraf bunu müzakere edene kadar destek konusunda hiçbir şey varsaymayın.

İki taraf da uzantıyı desteklemeli ve değiş tokuş sırasında bunu kabul etmelidir. İkinci tur için yapılandırılmış bir ağ geçidi bir istemciyi buna zorlayamaz ve uzantıyı destekleyen bir istemci, sunucu istemedikçe onu kullanmaz. Bu asimetri, başarısızlığın neden genellikle yetenek hakkında açık bir ifade yerine zaman aşımı veya protokol hatası olarak ortaya çıktığını açıklar. Bir tarafın yapılandırmasını okumak, olacakların yarısını söyler.

Uç nokta başına tek kanıt normal biçimdir ve bu tasarım o değildir. Ağ geçidi sertifikasını sunar, kullanıcı EAP'ye yanıt verir ve her taraf diğerini tam olarak bir kez doğrulamış olur. Bu iki kanıt karşıt uç noktalardan gelir, dolayısıyla hiçbiri makine ve onu kullanan kişi hakkında ayrı bir şey söylemez.

EAP-TLS üçüncü biçimdir ve o da bu değildir. Orada istemci sertifikası bir EAP yöntemi içinde sunulur, yani istemci yine tek bir IKE doğrulaması tamamlar. Kimlik bilgileri çok turlu durumla aynı görünebilirken protokol iki yerine tek tur taşır. Bu yüzden EAP-TLS kullanımından kopyalanan bir tasarım, ikinci kanıtın beklendiği noktada başarısız olur.

Aynı dosya ağ geçidinde farklı okunur

Aynı swanctl dosyası nerede çalıştığına bağlı olarak farklı okunur ve insanları yanıltan kısım budur. Dizüstü bilgisayarda ağ geçidi karşı taraftır, ağ geçidinde ise dizüstü bilgisayar karşı taraftır, bu yüzden local tarafı ben kimim, remote tarafı kimleri kabul edeceğim diye yazın. Bir local bloğu bu uç noktanın kendini nasıl doğruladığını anlatır, bir remote bloğu ise diğer uçtan ne talep ettiğini belirtir. Bir bloğu iki dosya arasında kopyalamak, tek bir karakteri değiştirmeden anlamını tersine çevirir. İki dosyayı karşılaştırmak neredeyse hiçbir şey söylemez, çünkü aynı sözcükler her birinde zıt anlamlara gelir.

Bir bölümün konumu, bir tur numarası aksini belirtmedikçe sırasını belirler. Bu nedenle ek local veya remote bölümleri alternatifler değil ek turlar tanımlar ve swanctl.conf başvurusundaki açık tur numarası tam da bu sıralamayı bilinçli kılmak için vardır. O olmadan, bir bloğu taşımak davranışı değiştirir. Bu yüzden kağıt üzerinde eşdeğer görünen iki yapılandırma zıt sıralarla davranabilir.

Bu sıralama kuralı, akılda tutulmaya değer arıza biçimini üretir. İkinci bir remote bloğu kabul edilebilir başka bir seçenek değildir; ikinci bir taleptir, bu yüzden ya/ya da gibi okunan bir politika ve-sonra gibi davranır. Bir ağ geçidi politikası, kayıtlı makinenin sertifikasını kabul edip ardından o kullanıcının EAP değiş tokuşunu bu sırayla talep edebilir.

Turları bağımsız etkenlerden ayırın

İki tur otomatik olarak iki bağımsız etken değildir. Bir kanıtı yinelemek veya iki kimlik bilgisini aynı depoda tutmak, tasarımın eklemesi gereken gücü sağlamaz. Bağımsızlık, sırların nasıl tutulduğunun ve onları neyin tehlikeye attığının bir özelliğidir, protokolün kaç değiş tokuş çalıştırdığının değil. Turları etken olarak sayan bir tasarım, sahip olduğunu abartır. Bu ayrım en çok, bir uyum sorusu oturum açmanın gerçekte kaç etken kullandığını sorduğunda önemlidir.

Bir makine sertifikası, kabul edilen anahtarının elinde olduğunu kanıtlar, başka bir şeyi değil. Donanım kanıtı değildir ve cihaz sağlık raporu değildir, bu yüzden duruş bilgisine ihtiyaç duyan bir politika farklı bir mekanizmaya ihtiyaç duyar. subject alanı da güvenebileceğiniz bir envanter etiketi değildir, çünkü subject'i sertifikayı veren veya kaydeden seçer. Tasarım makinenin sağlıklı olduğuna dair kanıt gerektiriyorsa, bu kanıt makineyi ölçen bir bileşenden gelmelidir.

Her turun gerçekte neyi kanıtladığını eklemeden önce yazın. İki tur aynı şeyi iki kez kanıtladığında, ikincisi güvence yerine gecikme ve destek kaydı ekler. Bu not, ek turun maliyetini hak edip etmediği tartışmasını da durduran şeydir.

Eşleştirme kuralını yazın ve reddetmeleri sınayın

Hangi makine kimliklerinin hangi kişilerle eşleşebileceğine karar verin ve kuralı yaptırımın yaşadığı yere yazın. Yan yana duran iki geçerli kimlik bilgisi eşleştirme hakkında hiçbir şey kanıtlamaz, çünkü eşleştirme bir kimlik doğrulama sonucu değil yetkilendirme kararıdır. Kayıt kayıtları veya kimlik doğrulama arka ucu, kuruluşun istediği ilişkiyi uygulamak zorundadır.

Sonra başarısız olması gerekenleri sınayın: onaylanmamış bir makinede kabul edilmiş bir kullanıcı, makine kimlik bilgisini elinde tutan onaylanmamış bir kullanıcı ve ek turu gerçekleştiremeyen bir karşı taraf. Üçü de sessizce aynı erişimi alıyorsa, politika bir niyeti uygulamak yerine tarif ediyor demektir. Bildirilen yapılandırmayı daemon'un bildirdiğiyle karşılaştırın, çünkü hiç eşleşmemiş bir bağlantı geçmiş bir kuraldan farksız görünür:

swanctl --list-conns
swanctl --list-sas

Yalnızca başarılı oturum açmayı değil, müzakere edilen turları ve bunların sonucundaki yetkilendirmeyi de kontrol edin. Ve eski IKEv1 XAuth ayarlarına kestirme olarak başvurmayın: bir bağlantı başarılı olana kadar gerekli bir turu silmek yerine protokolü, rolleri, sırayı ve istemcinin gerçek davranışını eşleştirin. Başarısız olan turu silmek, iki kanıtlı bir tasarımın sessizce kimsenin incelemediği tek kanıtlı bir tasarıma dönüşme biçimidir. Silmeyi değişiklik kaydında tutun.