strongSwan EAP: IKE kimliğine karşı beklenen AAA adı

IKEv2 üzerinden EAP kimlik doğrulaması, istemciden tek bir bağlantıda iki farklı sunucu adını doğrulamasını isteyebilir. IKE’yi sonlandıran ağ geçidi bir kimlik sunar ve iç TLS alışverişini sonlandıran EAP arka ucu başka bir kimlik sunabilir. strongSwan’da bunlar farklı yapılandırma bloklarında yaşar ve adı yanlış bloğa koymak sertifika sorunu gibi görünen bir hataya yol açar. Hangi doğrulamanın başarısız olduğunu okumak, hangi bloğu düzenlemeniz gerektiğini söyler.

Tek bağlantı, iki sunucu kimliği

İlk kimlik IKE alışverişine aittir. İstemci bir adresi arar ve karşı tarafın belirli bir kimliği, genellikle ağ geçidi sertifikasındaki adı kanıtlamasını bekler.

İkincisi EAP’ye aittir. PEAP veya TTLS ile istemci IKE SA içinde kimlik doğrulama sunucusuna bir TLS tüneli kurar ve bu iç sunucu kendi sertifikasını sunar. Arka uç ayrı bir ana bilgisayar olduğunda adı ağ geçidininkinden farklıdır. Yalnızca ilk adı denetleyen istemci, ikincisinin iddia ettiği her şeyi kabul eder. İki yerde tek adla yapılandırılmış bir istemci ise ikisi gerçekten farklılaştığı anda başarısız olur.

İki ad da hatayı ortadan kaldıran sertifikadan değil, operatörün yapılandırmasından gelir. Operatöre dağıtım ayrıntılarını sormak iki ana bilgisayar adı tahmin etmekten daha hızlıdır.

Hangi alan hangi katmana ait

swanctl’de adres ve IKE kimliği ayrı ayarlardır ve EAP kimliği üçüncüsüdür.

Uzak adres paketlerin nereye gittiğini seçer ve uzak kimlik karşı tarafın neyi kanıtlaması gerektiğini belirtir. EAP beklentisi local bloğunun altına yazılır, çünkü bu istemcinin EAP alışverişini anlatır, karşı tarafın IKE davranışını değil. İnsanların yanlış okuduğu yer tam da bu yerleşimdir. Ad, istemcinin yapılandırmasında dururken bir sunucuyu tanımlar ve bu yüzden yanlış yerde görünür.

connections {
    office {
        remote_addrs = vpn.example.com
        local {
            auth = eap-peap
            aaa_id = auth.example.com
        }
        remote {
            auth = pubkey
            id = vpn.example.com
        }
    }
}

Bu parça tam bir bağlantı değildir; güven malzemesi, kimlik bilgileri ve alt bağlantı ilkeleri hâlâ bulunmalıdır. Olduğu gibi çalışan bir dosyaya kopyalamak, hâlâ ihtiyaç duyduğunuz ayarların yerini alır.

aaa_id neden local altında yaşar

local bloğu bu ucun kimlik doğrulama sırasında ne yaptığını, kullanacağı yöntemi ve o yöntem için diğer uçtan beklediği kimliği de içerecek şekilde açıklar. İçinde AAA sunucusunun aynı makinede çalıştığını söyleyen hiçbir şey yoktur.

Varsayılan değer tuzağı keskinleştirir. Açık bir değer ayarlanmadığında beklenen AAA kimliği uzak kimliği izler, böylece tek adlı bir dağıtım çalışır ve ayrımı gizler. Açık değer yalnızca EAP dağıtımı gerçekten başka bir yerde sona erdiğinde önemlidir. Onu o neden olmadan başka bir ada ayarlamak, operatörün yeniden üretemeyeceği bir hataya yol açar. İkinci bir ad uydurmadan önce dağıtımı okuyun.

Değeri arka uç sertifikasının gerçekten iddia ettiğiyle, adın biçimi de dahil olmak üzere aynı tutun. Sondaki bir nokta veya ana bilgisayarı kapsamayan bir joker karakter denetimin başarısız olmasına yeter.

Ayrımı ifade edemeyen ön uçlar

Bir NetworkManager profili swanctl ile aynı yapılandırma arayüzü değildir. Arkasındaki eklenti daha dar bir kimlik denetimi kümesi sunar ve hangilerinin bulunduğu kurulu sürüme bağlıdır.

Bu, dağıtım gerçekten iki ada ihtiyaç duyduğunda önemlidir. Sunucu kimliği olarak etiketlenmiş bir alan bir katmanı yapılandırıp diğerini yapılandırmayabilir, bu yüzden bir profil doğru görünüp yine de iç denetimde başarısız olabilir. Profilin bu düzeni ifade edebildiğini varsaymadan önce kurulu eklentinin neyi desteklediğini denetleyin. Edemiyorsa seçim operatöre aittir: farklı bir sağlama yolu ya da düzeltilmiş bir sunucu kimliği tasarımı. PEAP’yi zayıflatmak veya herhangi bir adı kabul etmek kimlik doğrulama ilkesini düzeltmek yerine değiştirir.

Alternatif istemcide uydurulacak bir şey değildir. Desteklenen düzeni yazılı olarak isteyin, sonra bu yanıtı profille birlikte saklayın.

Kimlik uyuşmazlığını süresi dolmuş sertifikadan ayırın

Ad uyuşmazlığı ve süresi dolmuş sertifika farklı hatalardır ve günlük bunları ayırt eder. Hangi alanı değiştireceğinize karar vermeden önce iletiyi okuyun.

swanctl --list-conns
swanctl --list-sas
journalctl -u strongswan -n 50 --no-pager

Amaçlanan AAA kimliğini ayarlamak bir sertifikayı yenilemez veya yayıncısına güven oluşturmaz ve bir sertifikayı yenilemek yanlış beklenen adı düzeltmez. Başka bir kimlik alanını düzenlemeden önce hangi doğrulamanın başarısız olduğunu okuyun. Ardından yapılandırmayı yeniden yükleyin ve yüklenen bağlantının ayarladığınız değeri gösterdiğini doğrulayın, çünkü hiç yüklenmemiş düzenlenmiş bir dosya hiçbir şeyi değiştirmez. İki adı ve katmanlarını dağıtım notlarına yazın.