IKEv2 адреса сервера проти ідентифікації: що насправді перевіряє клієнт

Шлюз, який змінює адресу, може продовжувати працювати, поки той самий шлюз за новим сертифікатом зупиняється, і відбувається навпаки. Адреса повідомляє клієнту, куди надсилати пакети; автентифікований ідентифікатор повідомляє клієнту, чи одноранговий відповідач є тим, кому він повинен довіряти. IKEv2 зберігає їх як два окремих поля, що стане в нагоді, коли ви припините розглядати їх як один рядок. Вони також налаштовані в різних місцях, тому один може бути правильним, а інший – неправильним.

Перевірте їх у такому порядку та зупиніться на першій невідповідності, оскільки пізніші перевірки припускають, що попередні перевірки пройдені.

По-перше, яке значення є адресою

Адреса з’єднання – це будь-яка адреса, яку набирає клієнт: IP-адреса, ім’я DNS, яке перетворюється на одиницю, або зовнішній кінець з балансуванням навантаження. Це транспортна інформація і нічого більше. Ідентичність міститься в корисному навантаженні ідентифікатора IKEv2, а потім порівнюється з сертифікатом однорангового пристрою. Ім’я DNS в полі адреси не стає очікуваним ідентифікатором, а необроблена IP-адреса не стає ідентифікатором лише тому, що до нього підключено сокет.

У термінах strongSwan адреса — right або left, а очікуваний ідентифікатор — rightid або leftid, і це те, що описано в IKEv2 документації конфігурації. Якщо ви лише редагували адресу, ви налаштували половину пари.

По-друге, що може підтвердити сертифікат

Ідентифікація має тип, і сертифікат має містити відповідне ім’я. Ідентичність DNS задовольняється записом dNSName в альтернативному розширенні імені суб’єкта; IP-ідентифікація потребує запису iPAddress. Сертифікат, виданий для vpn.example.com, нічого не підтверджує буквальну адресу 203.0.113.10, а сертифікат, виданий для цієї адреси, нічого не доводить щодо імені. Таким чином, перевипуск для іншого імені не є заміною, навіть якщо той самий ключ і CA використовуються повторно.

Сучасні клієнти ігнорують загальну назву, коли існує альтернативна назва предмета, а багато хто ігнорує її повністю. Якщо список SAN не містить значення, яке перевіряє клієнт, рукостискання не вдається після того, як сертифікат уже прийнято як надійний, тому журнал читається як помилка ідентифікації, а не помилка довіри.

По-третє, як кожен клієнт висловлює свої очікування

Windows приймає ім’я або адресу сервера, які ви ввели, і вимагає відповідності сертифіката, тому введення IP створює очікування IP. Клієнт Android IKEv2 поводиться так само, і обидва відхиляють дійсний загальнодовірений сертифікат, який називає інший хост. Профіль може почати давати збої лише тому, що хтось замінив ім’я хоста його адресою під час міграції. Подивіться, що запитує клієнт, перш ніж дивитися, що містить сертифікат.

На strongSwan очікування є явним: встановіть rightid ідентифікатор, який насправді представляє сервер, який може відрізнятися від правильного. Встановлення значення %any приймає все, що пропонує одноранговий пристрій, і видаляє саме той чек, який ви намагаєтеся зберегти.

По-четверте, відокремте вхід користувача від однорангової ідентифікації

Автентифікація EAP та ідентифікація сервера відповідають на різні запитання. Ідентичність EAP, наприклад [email protected], повідомляє, хто є користувачем, після того, як клієнт вирішив, що сервер правильний. Зміна цього пароля не може виправити невідповідність ідентичності однорангового пристрою, оскільки з’єднання ніколи не досягає етапу входу користувача.

У обробленому звіті має бути вказано обидва: особу, яку очікував клієнт, особу, представлену сервером, і записи SAN сертифіката.

По-п'яте, змініть його через перевірений канал

Коли шлюз законно переміщується, спочатку оновіть адресу та залиште ідентифікаційну інформацію, тому що це IKEv2 справляється добре. Коли сам ідентифікатор змінюється, сприймайте це як подію довіри та отримуйте нове значення з джерела, якому ви вже довіряєте, а не з кінцевої точки, яка наразі вийшла з ладу. Повідомлення, надіслане через з’єднання, яке ви намагаєтеся перевірити, не є доказом цього з’єднання.

Запишіть остаточну адресу, особу та список SAN разом у нотатках профілю. Наступна особа, яка торкнеться сертифіката, побачить, кому з трьох дозволено рухатися.