iPhone IKEv2'den RouterOS'a: hangi tanımlayıcı nereye gider
iOS'ta bir IKEv2 tünelini dört ayrı iddia belirler: aranan adres, beklenen sunucu kimliği, ileri sürülen istemci kimliği ve sertifika malzemesi.
MikroTik ağ geçidine ulaşmak bir IKEv2 dağıtımının yalnızca taşıma yarısını çözer, başka hiçbir şeyi. Ardından dört ayrı iddia tünelin oluşup oluşmayacağını belirler: telefonun aradığı adres, beklediği sunucu kimliği, kendisi için ileri sürdüğü kimlik ve bu iddiayı destekleyen sertifika malzemesi. Bunları bu sırayla kontrol edin ve ağ geçidinin sunduğuyla uyuşmayan ilkinde durun. Her biri farklı bir yerde düzenlenir, bu yüzden yanlış bir düzenleme genellikle hatayı düzeltmek yerine taşır.
| Setting | What it decides | What it has to agree with |
|---|---|---|
| Remote address | where IKE packets are sent | a reachable name or address for the gateway |
| Remote Identifier | which server identity is expected | the gateway certificate name and the peer identity RouterOS presents |
| Local Identifier | who the phone claims to be | the client certificate name and the RouterOS identity entry |
| Certificate payload | trust plus proof of key possession | the issuing chain and a usable client private key |
Profil alanlarını değiş tokuşun kullandığı sırayla kontrol edin
Uzak adres ilk IKE paketinin hedefidir ve başka bir şey değildir. Uzak tanımlayıcı, telefonun ağ geçidinin kendisi olduğunu kanıtlamasını beklediği şeydir ve bu bir addır, rota değildir. İkisini de aynı ana makine adıyla doldurmak, ağ geçidinin sertifikası bu adı taşıdığında çalışır ve taşımadığında yönlendirme sorunu gibi görünen bir biçimde başarısız olur. Profili doldurulacak alanlar listesi değil, iddialar dizisi olarak okuyun.
Yerel tanımlayıcı telefonun kendi iddiasıdır ve telefonun sunduğu istemci sertifikası için RouterOS kimlik girdisinin kabul ettiği bir ad olmalıdır. İkisi uyuşmazsa ağ geçidi, sertifikanın kendisi doğrulandıktan sonra bağlantıyı reddeder ve günlük adlandırma değil yetkilendirme sorunu gibi görünür.
Tanımlayıcıları ağ geçidinin sunduğuyla karşılaştırın
Sertifika kimlik doğrulaması için yapılandırılmış RouterOS eş girdisi kendi sertifikasını sunar ve başka türlü yapılandırmadıysanız kimliği o sertifikadan alınır. Telefonun uzak tanımlayıcısı ağ geçidinin DNS adını belirtiyorsa, ağ geçidinin sertifikası bu adı telefonun kabul edeceği bir yerde, genellikle özne alternatif adında taşımalıdır. Başka bir ortak ad için düzenlenmiş sertifika, anahtar ve zincir kusursuz olsa bile doğrulanmaz.
Yönetilen Apple profilleri, tanımlayıcı alanlarına ek olarak değerlendirilen bir sertifika adı kısıtlaması da taşıyabilir. Doğrulama adını ayarlar ekranının gösterdiğinden çıkarsamak yerine yükü inceleyin, çünkü ikisi aynı ayar değildir.
İstemci sertifikasının yalnızca güven çıpası değil, bir anahtar olduğunu kontrol edin
CA sertifikası içe aktarmak telefona ağ geçidini doğrulayacak bir şey verir. Telefona istemci kimliği vermez ve sertifika kimlik doğrulaması, istemci yaprak sertifikasının ve özel anahtarının onaylanmış kayıt yoluyla birlikte teslim edilmesini gerektirir. Özel anahtar olmadan oluşturulan PKCS#12, temiz kurulan ama hiçbir şeyi doğrulamayan bir profil üretir.
İstemci yaprağı ayrıca RouterOS tarafının beklediği bir kimliğe ihtiyaç duyar, yani özne veya özne alternatif adı ilgili kimlik yapılandırmasıyla eşleşmelidir. İstemci ve sunucu sertifikalarını tek bir CA'dan vermek zinciri kullanışlı kılar ve iki yaprağı birbirinin yerine geçirilebilir yapmaz.
RouterOS ilkesinin bu adı kabul ettiğini doğrulayın
Ağ geçidinde eş girdisi değiş tokuş kipini ve kimlik doğrulama yöntemini belirler, kimlik girdisi ise kabul edilen uzak kimliği bir sertifikaya ve ardından gelen ilkeye bağlar. RouterOS v7'de bu çift, IPsec eş ve kimlik girdileriyle ifade edilir, örneğin auth-method=digital-signature bulunan bir IKEv2 eşi. Kurulu sürümünüzdeki gerçek menü içeriğini kontrol edin, daha eski bir sürüm için yazılmış bir kılavuzu değil.
Uyuşmazlığı düzeltmenin en ucuz yeri de burasıdır, çünkü ağ geçidi size hem aldığı hem de istediği kimliği söyleyebilir. Hatayı susturmak için kabul edilen kimliği genişletmek, dağıtıma anlam veren bağı ortadan kaldırır.
Bir şeyi düzenlemeden önce hangi aşamanın başarısız olduğunu kontrol edin
Denemeyi iki uçta okuyun ve bir öneriyi değiştirmeden önce sınıflandırın. Öneri uyuşmazlığı, eksik imza anahtarı, güvenilmeyen veren, yanlış eş tanımlayıcısı ve reddedilen istemci yetkilendirmesi telefondan hepsi ölü tünel gibi görünür ve her birinin sorumlusu farklıdır. Beş ayarın hepsini birden değiştirmek sonuçtan hiçbir şey öğrenmeyeceğinizi garanti eder.
Sunulan kimliği, beklenen kimliği, sertifikanın verenini ve seri numarasını ve ilgili ilkenin adını kaydedin, özel anahtarları ve profil sırlarını o kaydın dışında tutun. Kimlik doğrulama başarılı olduğunda, özel bir hizmeti ve yanıtını test edin, çünkü adres ataması, seçiciler, DNS ve erişim ilkesi IKE değiş tokuşu bittikten sonra da çalışmak zorundadır.